Podatności Docker Model Runner

Docker Model Runner przed wersją 1.1.25 zawiera podatność SSRF w przepływie wymiany tokenów rejestru OCI, gdzie Model Runner podąża za adresem realm z nagłówka WWW-Authenticate bez walidacji schematu, nazwy hosta lub zakresu IP. Złośliwy rejestr OCI może ustawić realm na wewnętrzny adres URL, powodując żądania GET do usług wewnętrznych i odzwierciedlenie odpowiedzi. Podatność naprawiono w wersji 1.1.25.

Backend MLX w Docker Model Runner na macOS używa biblioteki MLX-LM, która bezwarunkowo importuje i wykonuje dowolne pliki Python z katalogów modeli przez pole model_file w config.json. Brak sandboxingu umożliwia zdalne wykonanie kodu na hoście Docker jako użytkownik Docker Desktop.

Backend vllm-metal w Docker Model Runner na macOS bezwarunkowo ustawia trust_remote_code=True podczas ładowania tokenizerów modeli i działa bez sandboxingu. Powoduje to import i wykonanie dowolnych plików Python z modelu, co umożliwia zdalne wykonanie kodu na hoście Docker jako użytkownik Docker Desktop.