【漏洞通告】Docker Desktop 容器越权访问漏洞(CVE‑2025‑9074)
发布时间 2025-08-22一、漏洞概述
漏洞名称 | Docker Desktop容器越权访问漏洞 | ||
CVE ID | CVE-2025-9074 | ||
漏洞类型 | 越权访问 | 发现时间 | 2025-08-22 |
漏洞评分 | 9.3 | 漏洞等级 | 严重 |
攻击向量 | 本地 | 所需权限 | 无 |
利用难度 | 低 | 用户交互 | 需要 |
PoC/EXP | 未公开 | 在野利用 | 未发现 |
Docker Desktop是Docker官方提供的一款桌面端应用，主要用于在Windows和macOS系统上便捷地运行和管理Linux容器。它集成了Docker Engine、Docker CLI、Docker Compose等核心组件，并支持WSL 2后端、Kubernetes集群等功能，适合开发者在本地构建、测试和调试容器化应用。用户可通过图形界面或命令行高效管理容器、镜像和网络资源，是开发环境中常用的容器管理工具。
2025年8月22日，启明星辰集团VSRC监测到Docker Desktop存在容器越权访问漏洞,该漏洞允许本地运行的恶意Linux容器绕过隔离机制，通过默认子网（192.168.65.7:2375）直接访问Docker Engine API。该漏洞不依赖挂载Docker socket，也不受“Expose daemon on tcp://localhost:2375 without TLS”开关或Enhanced Container Isolation（ECI）设置影响。一旦被利用，攻击者可执行创建和控制容器、管理镜像等高权限操作，甚至在Windows+WSL环境下挂载宿主机磁盘并访问用户级权限文件。漏洞评分9.3，漏洞级别严重。
二、影响范围
Docker Desktop < 4.44.3。
三、安全措施
3.1 升级版本
3.2 临时措施
暂无。
京公网安备11010802024551号