حفره بحرانی در Docker Desktop: فرار کانتینر و دسترسی به میزبان (CVSS 9.3)
زمان مطالعه: < 1 دقیقه
فوری
CVE-2025-9074
رخنه‌ی حیاتی در Docker Desktop (Windows/macOS) که به یک کانتینر مخرب اجازه می‌دهد بدون نیاز به docker.sock به Docker Engine وصل شود و کانتینرهای جدید اجرا کند؛ ECI هم این نقص را پوشش نمی‌دهد. وصله در نسخه 4.44.3+ منتشر شده است.
خلاصه مدیریتی
- محصول هدف: Docker Desktop (Windows و macOS)
- بردار حمله: دسترسی کانتینر لینوکسی به API داکر روی ساب‌نت خصوصی
192.168.65.7:2375➜ اجرای کانتینر/دستور روی میزبان. - شدت: بحرانی (CVSS 9.3)؛ امکان دسترسی به فایل‌های کاربر و تصرف میزبان.
- وضعیت: وصله منتشر شده؛ به‌روزرسانی فوری توصیه می‌شود.
نسخه‌های درگیر و وصله
Docker Desktop پیش از 4.44.3 آسیب‌پذیر است. در 4.44.3 مشکل برطرف شده است.
اقدام فوری (پیشنهاد Pamtech)
- به‌روزرسانی فوری به 4.44.3+ در Windows/macOS.
- تا زمان ارتقاء: مسدودسازی دسترسی از کانتینرها به
192.168.65.7:2375با فایروال/پالیسی‌های شبکه و عدم اجرای کانتینرهای ناشناخته. - بررسی لاگ‌ها و خروجی
docker ps -aوdocker eventsبرای کانتینرهای غیرمنتظره. - محدود کردن اشتراک فایل‌ها/درایوها در تنظیمات Desktop و اجرای Dev containers با حداقل مجوز.
تشخیص و نشانه‌های نفوذ (Detection/IOC)
- اتصالات از فضای کانتینر به آدرس
192.168.65.7:2375(بدون TLS). - ایجاد کانتینرهایی که با workloadهای معمول شما همخوان نیستند.
- در Windows/WSL2: تلاش برای mount کردن درایوهای سیستم یا خواندن فایل‌های حساس کاربر.
- وقایع غیرعادی در
com.docker.backend(macOS) یا سرویس Docker Engine (Windows).
