Docker macOS Sandboxes-тағы CVE-2026-77179 сыни осалдығын түзетті
Материал бірнеше дереккөз негізінде жасанды интеллектпен дайындалды — түпнұсқаларға сілтемелер төменде.
Docker macOS виртуалды машинасындағы зиянды кодқа жобаның ортақ каталогынан шығып, хосттағы файлдарды оқуға немесе өзгертуге мүмкіндік берген Docker Sandboxes-тағы сыни осалдықты түзетті. CVE-2026-77179 осалдығы 0.28.0-ден 0.41.9-ға дейінгі нұсқаларға әсер етіп, 7 қыркүйекте шығарылған 0.42.0 нұсқасында жойылды. Docker бұл осалдықтың пайдаланылғаны туралы хабарламады.
Негізгі фактілер
- CVE-2026-77179 осалдығы Critical рейтингіне ие және macOS-тағы Docker Sandboxes-тың 0.28.0-ден 0.41.9-ға дейінгі нұсқаларына әсер етеді.
- Осалдық 7 қыркүйекте шығарылған Docker Sandboxes 0.42.0 нұсқасында түзетілді.
- Осалдықты пайдалану виртуалды машина жұмыс істейтін хост тіркелгісінің құқықтарымен орындалады, бұл хостта код орындалуына әкелуі мүмкін.
- Docker пайдалану жағдайлары туралы хабарламады, ал CISA-ның 16 қыркүйектегі бағалауы пайдаланудың жоқтығын көрсетеді.
- Сол шығарылымда High рейтингі және CVSS 8.7 бағасы бар, 0.37.0-ден 0.41.9-ға дейінгі нұсқаларға әсер ететін екінші CVE-2026-79994 осалдығы түзетілді.
Осалдық мәліметтері
Оқшауланған ортадан шығу virtio-fs хост-сервері арқылы жүзеге асады, ол жойылған файлды сақталған жол бойынша қайта ашқанда символдық сілтемелерге ереді. Қонақ жүйе ата-ана каталогын символдық сілтемеге ауыстырып, содан кейін VMM пайдаланушысы — виртуалды машина мониторы жұмыс істейтін хост тіркелгісі — атынан файлдарды оқи немесе өзгерте алады. Docker құжаттамасында наурыздан бері жұмыс аймағынан тысқары көрсететін символдық сілтемелер өңделмейтіні көрсетілген. Осалдықты пайдалану үшін құмсалғыш ішінде зиянды код болуы қажет, мысалы, өз пайдаланушысына қарсы бағытталған кодтау агенті немесе агент орнатып, іске қосқан кез келген зиянды компонент.
Екінші осалдық
CVE-2026-79994 осалдығы Docker бағалауы бойынша High рейтингіне және CVSS 8.7 бағасына ие; ол 0.37.0-ден 0.41.9-ға дейінгі нұсқаларға әсер етеді, бірақ 0.42.0-ге әсер етпейді. Осалдық құмсалғышқа рұқсат етілген жұмыс аймағы шегінде Unix домен сокеттеріне қосылуға мүмкіндік беретін ретрансляторда орналасқан. Ретранслятор сокет жолының жұмыс аймағы ішінде екенін тексеріп, содан кейін жол атауын пайдаланып қайта қосылды. Тексеру мен қосылу арасында осы жолдағы каталогты символдық сілтемеге ауыстырған қонақ жүйе хостты жұмыс аймағынан тыс кез келген AF_UNIX сокетіне қосылуға мәжбүрлей алады, бұл сол сокет ұсынатын хост деректерінің немесе мүмкіндіктерінің ашылуына әкеледі.
1 дереккөз
Уақыт · артта қалуы