CVE-2026-5817

WysokieCVSS 8.2

Opublikowano: 22/05/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Backend vllm-metal w Docker Model Runner na macOS bezwarunkowo ustawia trust_remote_code=True podczas ładowania tokenizerów modeli i działa bez sandboxingu. Powoduje to import i wykonanie dowolnych plików Python z modelu, co umożliwia zdalne wykonanie kodu na hoście Docker jako użytkownik Docker Desktop.

Ocena ryzyka

Każdy kontener w sieci Docker może wywołać wykonanie dowolnego kodu na hoście, co prowadzi do pełnej kompromitacji systemu.

Rekomendacja

Ogranicz dostęp do API model-runner.docker.internal i nie używaj niezaufanych modeli z rejestrów OCI.

Inne podatności w Docker Model Runner

CVE-2026-5843Wysokie
Backend MLX w Docker Model Runner na macOS używa biblioteki MLX-LM, która bezwarunkowo importuje i wykonuje dowolne pliki Python z katalogów modeli przez pole model_file w config.json. Brak sandboxingu umożliwia zdalne wykonanie kodu na hoście Docker jako użytkownik Docker Desktop.

Oryginalny opis (angielski, źródło NVD)

The vllm-metal inference backend in Docker Model Runner on macOS unconditionally sets trust_remote_code=True when loading model tokenizers, and runs without sandboxing. This causes transformers.AutoTokenizer.from_pretrained() to import and execute arbitrary Python files included in any model pulled from an OCI registry, resulting in arbitrary code execution on the Docker host as the Docker Desktop user when inference is triggered. Any container on the Docker network can trigger this by calling the model-runner.docker.internal API to pull a malicious model and request inference.