➡️CVE-2025-9074: Escape from Tarkov Docker Desktop

Разбираем свежий крит в Docker Desktop для Windows и macOS, которая позволяет контейнерам полностью похекать хостовую систему.

➡️Суть проблемы

CVE-2025-9074 (CVSS 9.3) - это container escape уязвимость в Docker Desktop, исправленная в версии 4.44.3. Проблема в том, что любой контейнер может подключиться к Docker Engine API по адресу 192.168.65.7:2375 без какой-либо аутентификации.

➡️Механизм атаки

Исследователь Felix Boulet показал, что эксплуатация тривиальна:
Шаг 1: POST-запрос к /containers/create с JSON payload, который монтирует диск C:\ хоста в папку контейнера /mnt/host/c:/host_root
Шаг 2: POST-запрос к /containers/{id}/start для запуска контейнера с полным доступом к файловой системе хоста
Результат: Полная компрометация хоста с правами администратора

➡️Различия по платформам

Windows: Контейнер получает полный доступ к файловой системе, может читать любые файлы, перезаписывать системные DLL и эскалировать привилегии до администратора.
macOS: Docker Desktop имеет дополнительный слой изоляции, монтирование пользовательских директорий требует разрешения. Но злоумышленник все равно получает полный контроль над Docker и может бэкдорить конфигурацию приложения.
Linux: Буква ю - .... Использует named pipe вместо TCP-сокета для API. Линь снова оказалась самой безопасной ОСью))

➡️Альтернативные векторы атаки

Помимо вредоносного контейнера, уязвимость можно эксплуатировать через SSRF:
- Если приложение позволяет проксировать HTTP-запросы
- Особенно опасно, если SSRF поддерживает POST/PATCH/DELETE методы
- Можно достучаться до Docker socket через уязвимое приложение

➡️Техническая суть

По словам исследователя Philippe Dugre (zer0x64), это была "простая недоработка" - внутренний HTTP API Docker был доступен из любого контейнера без аутентификации или контроля доступа.
Enhanced Container Isolation (ECI) не защищает от этой уязвимости, что делает её особенно опасной.

➡️Меры защиты

Немедленно: Обновиться до Docker Desktop 4.44.3+
Проверка версии: docker --version
Мониторинг: Отслеживать подозрительные HTTP-запросы к 192.168.65.7:2375
Аудит: Проверить контейнеры на наличие подозрительных примонтированных дисков

🔗Источники:
- HackerNews
- NIST

🌚 @poxek | 🌚 Блог | 📺 YT | 📺 RT | 📺 VK