CVE-2026-18171
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Docker Sandboxes (sbx) stosuje intencję tylko-do-odczytu dla montowania hosta tylko do powiązania kontenera w gościu: bazowe uprawnienie virtio-fs na krawędzi hosta jest dodawane do listy dozwolonych polityk sandboxa bez trybu dostępu. Katalog pozostaje zapisywalny w ścieżce współdzielonego eksportu, więc nieuprzywilejowany kod wewnątrz sandboxa może wyprowadzić tę ścieżkę i zapisywać do katalogu hosta, który operator podłączył jako tylko-do-odczytu.
Ocena ryzyka
Ryzyko zapisu do katalogów hosta, które miały być tylko-do-odczytu, co może prowadzić do nieautoryzowanych modyfikacji danych lub naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację Docker Sandboxes do wersji z poprawką oraz dokładne sprawdzenie konfiguracji montowań tylko-do-odczytu.
Oryginalny opis (angielski, źródło NVD)
Docker Sandboxes (sbx) applies the read-only intent of a runtime host mount to the in-guest container bind only: the underlying virtio-fs host-edge grant is added to the sandbox's policy-share allowlist with no access mode. The directory stays writable at its shared-export path, so unprivileged code inside the sandbox can derive that path and write to a host directory the operator attached read-only.