Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Docker opravuje kritickú a vysoko závažnú zraniteľnosť v produkte Docker Sandboxes
Docker verziou 0.42.0 opravuje kritickú a vysoko závažnú zraniteľnosť v produkte Docker Sandboxes [1].
Neautentizovanému lokálnemu útočníkovi je umožnené, za predpokladu, že Docker Sandbox beží na macOS, kvôli chybe v sledovaní symlinkov serverom virtio-fs uniknúť zo zdieľaného priestoru a čítať či meniť ľubovoľné súbory hostiteľa ako používateľ VMM alebo potenciálne spustiť kód na hostiteľskom systéme [1][2].
Zraniteľnosť sa nachádza v produkte:
- macOS:Docker Sandboxes; >=0.28.0, <=0.42.0;
CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Viac informácií:
- CVE-2026-77179 na cve.org, NVD
- CWE-59: Improper Link Resolution Before File Access ('Link Following') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 15. 9. 2026.
Neautentizovanému lokálnemu útočníkovi je umožnené zneužiť zraniteľnosť typu TOCTOU pri prepájaní Unix-doménových socketov z hosťa na hostiteľa a medzi kontrolou a pripojením nahradiť medziľahlý adresár symlinkom, a tým prinútiť hostiteľa pripojiť sa k ľubovoľnému AF_UNIX socketu mimo zdieľaného priestoru a získať tak neoprávnený prístup k dátam či hostiteľským oprávneniam poskytovaným týmto socketom [1][3].
Zraniteľnosť sa nachádza v produkte:
- Docker Sandboxes; >=0.37.0, <=0.42.0;
CVSS: CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N
Viac informácií:
- CVE-2026-79994 na cve.org, NVD
- CWE-367: Time-of-check Time-of-use (TOCTOU) Race Condition na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 15. 9. 2026.
Odkazy
Za CESNET, z.s.p.o. Táňa Macháčková dňa 16. 9. 2026.