CVE-2026-79994
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Przekaźnik gniazd Unix-domain między gościem a hostem w Docker Sandboxes sprawdza, czy ścieżka gniazda znajduje się w autoryzowanym obszarze roboczym, ale później łączy się ponownie używając nazwy ścieżki. Złośliwy gość może zastąpić katalog pośredni dowiązaniem symbolicznym między walidacją a połączeniem, co powoduje, że host łączy się z dowolnym gniazdem AF_UNIX poza współdzielonym obszarem roboczym. Może to ujawnić dane lub możliwości strony hosta udostępniane przez docelowe gniazdo.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych lub usług hosta, co może prowadzić do naruszenia izolacji kontenerów i kompromitacji systemu.
Rekomendacja
Zaleca się aktualizację Docker Sandboxes do wersji z poprawką oraz wdrożenie dodatkowych kontroli integralności ścieżek, takich jak użycie deskryptorów plików zamiast ścieżek.
Inne podatności w Docker Sandboxes
Zobacz wszystkie- CVE-2026-77179Krytyczne
W systemie macOS serwer hosta virtio-fs używany przez Docker Sandboxes nieprawidłowo podąża za dowiązaniami symbolicznymi przy ponownym otwieraniu usuniętego pliku ze zapisanej ścieżki. Złośliwy gość może zastąpić katalog nadrzędny dowiązaniem symbolicznym, wydostać się ze współdzielonego obszaru roboczego i odczytać lub zmodyfikować dowolne pliki hosta jako użytkownik VMM. Problem naprawiono w wersji 10.08.0.
- CVE-2026-18171Średnie
Docker Sandboxes (sbx) stosuje intencję tylko-do-odczytu dla montowania hosta tylko do powiązania kontenera w gościu: bazowe uprawnienie virtio-fs na krawędzi hosta jest dodawane do listy dozwolonych polityk sandboxa bez trybu dostępu. Katalog pozostaje zapisywalny w ścieżce współdzielonego eksportu, więc nieuprzywilejowany kod wewnątrz sandboxa może wyprowadzić tę ścieżkę i zapisywać do katalogu hosta, który operator podłączył jako tylko-do-odczytu.
- CVE-2026-12539Średnie
Podatność w Docker Sandboxes (sbx) polega na tym, że blokada ruchu ICMP (egress) jest stosowana tylko podczas tworzenia sieci, ale nie jest ponownie aplikowana po restarcie demona Dockera. W rezultacie sandbox, który przetrwa restart, umożliwia wysyłanie pakietów ICMP do dowolnych hostów.
- CVE-2026-12039Średnie
Podatność w Docker Sandboxes (sbx) pozwala na ominięcie listy dozwolonych domen HTTP/S poprzez wykorzystanie tunelowania DNS. Wbudowany serwer DNS przekazuje zapytania do hosta bez sprawdzania polityki, co umożliwia nieufnemu obciążeniu eksfiltrację danych zakodowanych w etykietach DNS.
Oryginalny opis (angielski, źródło NVD)
The guest-to-host Unix-domain socket relay in Docker Sandboxes validates that a socket path is inside an authorized workspace, but later reconnects using the pathname. A malicious guest can replace an intermediate directory with a symlink between validation and connection, causing the host to connect to an arbitrary AF_UNIX socket outside the shared workspace. This can expose data or host-side capabilities provided by the targeted socket.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS