Podatności Docker Desktop

W Docker Desktop 4.76.0 naprawiono błąd powodujący panikę maszyny wirtualnej (VM panic) w module jądra grpcfuse, wywołaną przez nieograniczoną rekurencję podczas tworzenia głęboko zagnieżdżonych katalogów w zamontowanym folderze hosta i wyzwoleniu zdarzenia unieważnienia dentry.

Flaga --use-api-socket w Docker CLI omija ograniczenia Enhanced Container Isolation (ECI) w Docker Desktop. Gdy ECI jest włączone, montowanie gniazda Dockera z kontenerów jest domyślnie blokowane, chyba że jawnie dozwolone w konfiguracji admin-settings. Flaga --use-api-socket dodaje montowanie gniazda przez pole HostConfig.Mounts zamiast HostConfig.Binds, a mechanizm ECI sprawdza tylko Binds, co pozwala na niekontrolowane montowanie. Daje to kontenerowi pełny dostęp do gniazda silnika Dockera, a jeśli użytkownik hosta jest zalogowany do rejestrów kontenerów, także do jego poświadczeń uwierzytelniających.

Docker Desktop Installer.exe jest podatny na przejęcie DLL z powodu niebezpiecznej kolejności wyszukiwania DLL. Instalator szuka wymaganych bibliotek DLL w folderze Pobrane użytkownika przed sprawdzeniem katalogów systemowych, co umożliwia lokalną eskalację uprawnień poprzez umieszczenie złośliwej biblioteki DLL. Problem dotyczy Docker Desktop do wersji 4.48.0.