CVE-2025-9074

إصدارات Docker Desktop الأقدم من 4.44.3

يسمح ثغرة في آلية عزل الحاويات في Docker Desktop لنظامي التشغيل Windows و macOS للحاويات المحلية التي تعمل بنظام Linux بالحصول على وصول غير مصدق إلى واجهة برمجة تطبيقات Docker Engine عبر الشبكة الفرعية المُعدة لـ Docker، والتي تكون عادةً على العنوان ’192.168.65.7:2375‘. تستمر هذه المشكلة بغض النظر عما إذا كانت ميزة «العزل المحسّن للحاويات» (ECI) ممكّنة أو إذا كان خيار عرض الخدمة الخلفية على «tcp://localhost:2375» بدون TLS نشطًا. يمكن للمهاجم استغلال هذه الثغرة عبر «تزوير الطلبات من جانب الخادم» (SSRF) لتنفيذ أوامر ذات امتيازات، مثل إدارة الصور والتحكم في الحاويات أو إنشاء حاويات جديدة. على أنظمة Windows التي تستخدم الخلفية WSL، يمكن أن يؤدي ذلك إلى هروب كامل من الحاوية، مما يسمح للمهاجم بتركيب محرك أقراص المضيف وقراءة الملفات الحساسة والكتابة فوق مكتبات DLL الخاصة بالنظام باستخدام امتيازات المستخدم الذي يقوم بتشغيل Docker Desktop. على نظام macOS، على الرغم من أن إجراءات الحماية الخاصة بالنظام توفر مزيدًا من الحماية ضد الوصول غير المصرح به إلى الملفات، إلا أنه لا يزال بإمكان المهاجم الحصول على السيطرة الكاملة على تطبيق Docker وحاوياته.

تشمل التفاصيل الفنية استخدام نقاط نهاية واجهة برمجة التطبيقات (API) ’/containers/create‘ و ’/containers/{id}/start‘ لنشر حاويات ذات امتيازات مع عمليات ربط محرك الأقراص المضيف.

قم بالتحديث إلى إصدار Docker Desktop 4.44.3 أو أحدث.

كحل مؤقت، قم بحظر وصول الحاويات إلى الشبكة الفرعية 192.168.65.0/24 على المنافذ 2375-2376 باستخدام جدار الحماية الخاص بالمضيف.