【漏洞通告】Docker Desktop 安装程序 DLL 劫持漏洞(CVE-2025-9164)
发布时间 2025-10-28一、漏洞概述
漏洞名称 | Docker Desktop 安装程序 DLL 劫持漏洞 | ||
CVE ID | CVE-2025-9164 | ||
漏洞类型 | 本地权限提升 | 发现时间 | 2025-10-28 |
漏洞评分 | 8.8 | 漏洞等级 | 高危 |
攻击向量 | 本地 | 所需权限 | 低 |
利用难度 | 高 | 用户交互 | 不需要 |
PoC/EXP | 未公开 | 在野利用 | 未发现 |
Docker Desktop是一款为开发者提供的跨平台容器管理工具，支持Windows和macOS系统。它简化了Docker引擎、容器、镜像的管理，并提供了图形化界面，方便用户创建、构建、运行和管理容器。Docker Desktop集成了Docker CLI、Kubernetes、容器虚拟化技术，以及支持本地开发和测试，旨在提高开发效率并简化部署流程。它是开发人员在本地环境中构建和测试容器化应用的理想工具。
2025年10月28日，启明星辰集团VSRC监测到一个影响Docker Desktop for Windows安装程序的DLL劫持漏洞，源于不安全的DLL搜索顺序。安装程序在查找DLL时，会优先在用户的Downloads文件夹中搜索，而非系统目录。这使得攻击者可通过在该文件夹中放置恶意DLL，实现本地权限提升。该漏洞允许攻击者获取更高权限并执行恶意操作。漏洞评分8.8分，漏洞级别高危。
二、影响范围
三、安全措施
3.1 升级版本
下载链接：https://docs.docker.com/desktop/release-notes/
3.2 临时措施
暂无。
京公网安备11010802024551号