CVE-2026-5817
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Backend vllm-metal w Docker Model Runner na macOS bezwarunkowo ustawia trust_remote_code=True podczas ładowania tokenizerów modeli i działa bez sandboxingu. Powoduje to import i wykonanie dowolnych plików Python z modelu, co umożliwia zdalne wykonanie kodu na hoście Docker jako użytkownik Docker Desktop.
Ocena ryzyka
Każdy kontener w sieci Docker może wywołać wykonanie dowolnego kodu na hoście, co prowadzi do pełnej kompromitacji systemu.
Rekomendacja
Ogranicz dostęp do API model-runner.docker.internal i nie używaj niezaufanych modeli z rejestrów OCI.
Inne podatności w Docker Model Runner
Zobacz wszystkie- CVE-2026-33990Krytyczne
Docker Model Runner przed wersją 1.1.25 zawiera podatność SSRF w przepływie wymiany tokenów rejestru OCI, gdzie Model Runner podąża za adresem realm z nagłówka WWW-Authenticate bez walidacji schematu, nazwy hosta lub zakresu IP. Złośliwy rejestr OCI może ustawić realm na wewnętrzny adres URL, powodując żądania GET do usług wewnętrznych i odzwierciedlenie odpowiedzi. Podatność naprawiono w wersji 1.1.25.
- CVE-2026-5843Wysokie
Backend MLX w Docker Model Runner na macOS używa biblioteki MLX-LM, która bezwarunkowo importuje i wykonuje dowolne pliki Python z katalogów modeli przez pole model_file w config.json. Brak sandboxingu umożliwia zdalne wykonanie kodu na hoście Docker jako użytkownik Docker Desktop.
Oryginalny opis (angielski, źródło NVD)
The vllm-metal inference backend in Docker Model Runner on macOS unconditionally sets trust_remote_code=True when loading model tokenizers, and runs without sandboxing. This causes transformers.AutoTokenizer.from_pretrained() to import and execute arbitrary Python files included in any model pulled from an OCI registry, resulting in arbitrary code execution on the Docker host as the Docker Desktop user when inference is triggered. Any container on the Docker network can trigger this by calling the model-runner.docker.internal API to pull a malicious model and request inference.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS