CVE-2026-12039

W systemie macOS serwer hosta virtio-fs używany przez Docker Sandboxes nieprawidłowo podąża za dowiązaniami symbolicznymi przy ponownym otwieraniu usuniętego pliku ze zapisanej ścieżki. Złośliwy gość może zastąpić katalog nadrzędny dowiązaniem symbolicznym, wydostać się ze współdzielonego obszaru roboczego i odczytać lub zmodyfikować dowolne pliki hosta jako użytkownik VMM. Problem naprawiono w wersji 10.08.0.

Docker Sandboxes porównywały nazwy hostów punktów końcowych tokenów OAuth w sposób uwzględniający wielkość liter przy decydowaniu, czy maskować odpowiedzi zarządzanych poświadczeń, podczas gdy routing żądań traktował nazwy DNS bez uwzględniania wielkości liter. Niezaufany kod w sandboxie mógł użyć nazwy hosta z różną wielkością liter, aby dotrzeć do prawdziwego punktu końcowego dostawcy, omijając maskowanie odpowiedzi. Jeśli użytkownik ukończył przepływ OAuth, tokeny dostępu i odświeżania dostawcy mogły zostać zwrócone bez maskowania do sandboxa, ujawniając poświadczenia zarządzane przez hosta.

Docker Sandboxes mogły przekazywać poświadczenia dostarczone przez klienta wraz z poświadczeniem wstrzykniętym przez hosta przez proxy egress. Proxy usuwało alternatywne poświadczenia tylko wtedy, gdy ich wartości pasowały do znanych wartości sentinel, więc niezaufany kod w autoryzowanym sandboxie mógł dostarczyć nierozpoznane poświadczenie w innym obsługiwanym nagłówku autoryzacji. Dla dotkniętych usług zewnętrznych mogło to uwierzytelnić żądanie na koncie kontrolowanym przez atakującego i ujawnić dane zawarte w żądaniu.

Docker Sandboxes mogły zawieść w trybie otwartym podczas maskowania poświadczeń w chronionych odpowiedziach proxy. Gdy odczyt treści odpowiedzi zwracał dane wraz z błędem, dotknięte procedury mogły przekazywać niezmaskowane bajty. Kod wewnątrz autoryzowanego sandboxa mógł to wykorzystać do odzyskania zarządzanych przez hosta tokenów OAuth dostępu i odświeżania lub pochodnego klucza API Anthropic, który miał pozostać poza sandboxem.

Przekaźnik gniazd Unix-domain między gościem a hostem w Docker Sandboxes sprawdza, czy ścieżka gniazda znajduje się w autoryzowanym obszarze roboczym, ale później łączy się ponownie używając nazwy ścieżki. Złośliwy gość może zastąpić katalog pośredni dowiązaniem symbolicznym między walidacją a połączeniem, co powoduje, że host łączy się z dowolnym gniazdem AF_UNIX poza współdzielonym obszarem roboczym. Może to ujawnić dane lub możliwości strony hosta udostępniane przez docelowe gniazdo.

Docker Sandboxes (sbx) stosuje intencję tylko-do-odczytu dla montowania hosta tylko do powiązania kontenera w gościu: bazowe uprawnienie virtio-fs na krawędzi hosta jest dodawane do listy dozwolonych polityk sandboxa bez trybu dostępu. Katalog pozostaje zapisywalny w ścieżce współdzielonego eksportu, więc nieuprzywilejowany kod wewnątrz sandboxa może wyprowadzić tę ścieżkę i zapisywać do katalogu hosta, który operator podłączył jako tylko-do-odczytu.

Podatność w Docker Sandboxes (sbx) polega na tym, że blokada ruchu ICMP (egress) jest stosowana tylko podczas tworzenia sieci, ale nie jest ponownie aplikowana po restarcie demona Dockera. W rezultacie sandbox, który przetrwa restart, umożliwia wysyłanie pakietów ICMP do dowolnych hostów.