CVE-2026-77179: escape de contêiner Docker para o sistema de arquivos do macOS

O pesquisador Oren Yomtov, da Accomplish, descobriu CVE-2026-77179 — uma fuga de sandbox no hypervisor do Docker para Mac que permite que código em execução dentro de um contêiner obtenha acesso completo de leitura e escrita ao sistema de arquivos do host.

O problema está no virtio-fs, que o Docker VMM usa para expor diretórios montados aos contêineres. Quando o guest acessa um caminho pela primeira vez, o servidor de arquivos retorna um nodeid e armazena o caminho. Em requisições subsequentes, o guest se refere ao arquivo pelo nodeid, então o servidor precisa resolvê-lo novamente. Ele primeiro tenta localizar o arquivo por inode através do volfs do macOS; se isso falhar, ele recorre à string de caminho salva durante a consulta inicial.

O atacante cria e abre um arquivo dentro da montagem permitida e mantém o handle aberto, impedindo que o servidor descarte seu nodeid. O arquivo e seu diretório pai são então excluídos, removendo o caminho volfs, e o diretório é substituído por um link simbólico para um local arbitrário no host. Quando o virtio-fs recorre ao caminho armazenado, sua verificação ainda vê um caminho dentro da montagem permitida, mas o macOS segue o link simbólico ao abri-lo e resolve a requisição fora da montagem. Isso dá ao contêiner acesso a arquivos do host. O autor demonstra a fuga em apenas três linhas de Bash.

Este não é um ataque remoto por si só: um atacante precisa da capacidade de executar código dentro do contêiner. O problema é particularmente relevante para agentes de IA, que rotineiramente executam código não confiável e dependem do sandbox para isolá-lo do sistema host.

A vulnerabilidade foi corrigida no Docker Sandboxes 0.42.0 e no Docker Desktop 4.88.0. O Docker Desktop é afetado no macOS apenas quando o Docker VMM é selecionado como Virtual Machine Manager. A Docker commitou a correção no Sailor, o nome interno de seu hypervisor, cerca de 31 horas após receber o relatório. O Docker Desktop 4.88.0 lançou a correção em 24 de agosto, e o Docker Sandboxes 0.42.0 a seguiu em 7 de setembro.

Artigo: https://www.accomplish.ai/blog/escaping-dockers-hypervisor/