CVE-2026-114409
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Docker Desktop przed wersją 4.97.0 mógł zapisywać klucze API firm trzecich oraz tokeny dostępu OAuth w postaci jawnej w lokalnych logach aplikacji i pakietach diagnostycznych z powodu niewystarczającej redakcji danych IPC. Atakujący z dostępem do odczytu tych plików mógł uzyskać poświadczenia; tokeny OAuth nie są tokenami konta Docker. Wersje 4.94.0 i 4.95.0 naprawiły znane ścieżki logowania, ale logi z poświadczeniami mogą pozostać po aktualizacji, a wersja 4.97.0 usuwa problem i obejmuje czyszczenie istniejących logów i zrzutów awarii.
Ocena ryzyka
Poświadczenia zapisane jawnym tekstem w logach mogą zostać odczytane przez nieuprawnione osoby i wykorzystane do dostępu do usług firm trzecich. Może to prowadzić do naruszenia danych i nieautoryzowanych działań w zewnętrznych systemach.
Rekomendacja
Zaktualizuj Docker Desktop do wersji 4.97.0 lub nowszej, która usuwa problem i czyści istniejące logi. Dodatkowo unieważnij i rotuj wszelkie klucze API oraz tokeny OAuth, które mogły zostać ujawnione.
Inne podatności w Docker Desktop
Zobacz wszystkie- CVE-2026-112917Krytyczne
W Docker Desktop dla Windows z backendem WSL2 nieuprzywilejowany kontener Linux może użyć 32-bitowego wywołania socketcall, aby obejść domyślne ograniczenie seccomp na AF_VSOCK. Może to ujawnić usługi hosta oraz pliki Windows dostępne dla zalogowanego użytkownika. Problem dotyczy x86-64 WSL2; backendy oparte na LinuxKit nie są dotknięte.
- CVE-2026-8936Wysokie
W Docker Desktop 4.76.0 naprawiono błąd powodujący panikę maszyny wirtualnej (VM panic) w module jądra grpcfuse, wywołaną przez nieograniczoną rekurencję podczas tworzenia głęboko zagnieżdżonych katalogów w zamontowanym folderze hosta i wyzwoleniu zdarzenia unieważnienia dentry.
- CVE-2026-6406Wysokie
Flaga --use-api-socket w Docker CLI omija ograniczenia Enhanced Container Isolation (ECI) w Docker Desktop. Gdy ECI jest włączone, montowanie gniazda Dockera z kontenerów jest domyślnie blokowane, chyba że jawnie dozwolone w konfiguracji admin-settings. Flaga --use-api-socket dodaje montowanie gniazda przez pole HostConfig.Mounts zamiast HostConfig.Binds, a mechanizm ECI sprawdza tylko Binds, co pozwala na niekontrolowane montowanie. Daje to kontenerowi pełny dostęp do gniazda silnika Dockera, a jeśli użytkownik hosta jest zalogowany do rejestrów kontenerów, także do jego poświadczeń uwierzytelniających.
- CVE-2025-13743Wysokie
W pakietach diagnostycznych Docker Desktop znaleziono wygasłe tokeny Hub PAT, które trafiały do logów w wyniku serializacji obiektów błędów. Może to prowadzić do wycieku poufnych informacji w eksportowanych danych diagnostycznych, zwłaszcza gdy wystąpiły błędy odmowy dostępu.
- CVE-2025-9164Wysokie
Docker Desktop Installer.exe jest podatny na przejęcie DLL z powodu niebezpiecznej kolejności wyszukiwania DLL. Instalator szuka wymaganych bibliotek DLL w folderze Pobrane użytkownika przed sprawdzeniem katalogów systemowych, co umożliwia lokalną eskalację uprawnień poprzez umieszczenie złośliwej biblioteki DLL. Problem dotyczy Docker Desktop do wersji 4.48.0.
- CVE-2025-10657Wysokie
W Docker Desktop 4.46.0 z włączonym Enhanced Container Isolation (ECI) i używaną funkcją ograniczania komend, konfiguracja ograniczeń była ignorowana, co pozwalało na wykonanie dowolnych komend na Docker socket. Dotyczy to tylko kontenerów, którym administrator jawnie zezwolił na montowanie Docker socket.
Oryginalny opis (angielski, źródło NVD)
Docker Desktop before version 4.97.0 could write third-party API keys and OAuth access tokens in cleartext to local application logs and diagnostics bundles due to insufficient IPC payload redaction. An attacker with read access to these files could obtain the credentials. These OAuth tokens are not Docker account tokens. Docker Desktop 4.94.0 and 4.95.0 addressed the known logging paths, but logs containing credentials can remain after upgrading. Docker Desktop 4.97.0 fixes the issue and includes cleanup of existing host logs and crash dumps.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS