Kritikus Docker sérülékenység javítása (CVE-2025-9074)
A Docker javításokat adott ki egy kritikus sérülékenység megszüntetésére, amely a Windows és macOS rendszerek Docker Desktop alkalmazását érinti, és amely lehetővé teszi egy támadó számára, hogy kitörjön a konténer korlátai közül. A CVE-2025-9074 sérülékenység CVSS pontszáma 9,3, amit a 4.44.3 verzióban javítottak.
„A Docker Desktopon futó rosszindulatú konténer hozzáférhet a Docker Engine-hez, és további konténereket indíthat el anélkül, hogy a Docker socketet csatlakoztatni kellene” – áll a Docker figyelmeztetésében. Ez lehetővé teheti a host rendszeren található felhasználói fájlokhoz való jogosulatlan hozzáférést. Az Enhanced Container Isolation (ECI) nem csökkenti a sérülékenységet.
Felix Boulet biztonsági kutató szerint a sérülékenység azzal függ össze, hogy egy konténer hitelesítés nélkül is csatlakozhat a Docker Engine API-hoz a 192.168.65[.]7:2375 címen, ami lehetőséget teremt arra, hogy egy privilegizált konténer teljes hozzáférést szerezzen a host géphez, miután a C:\ meghajtót csatlakoztatta hozzá.
