CVE-2025-9074
Mis à jour :
Vulnérabilité Docker Desktop : Accès au moteur Docker depuis les conteneurs Linux
Une faille de sécurité dans Docker Desktop, identifiée sous le nom de CVE-2025-9074, permet aux conteneurs Linux locaux d’accéder à l’API du moteur Docker. Cette communication s’effectue via le sous-réseau Docker configuré, qui est par défaut 192.168.65.7:2375. Cette vulnérabilité est présente indépendamment de l’activation de l’Isolement Renforcé des Conteneurs (ECI) ou de l’option d’exposition du démon sans TLS.
Points Clés et Vulnérabilités :
- Accès API non autorisé : Les conteneurs malveillants peuvent contourner les restrictions pour accéder directement à l’API du moteur Docker.
- Exécution de commandes privilégiées : Permet aux attaquants d’exécuter des commandes avec des privilèges élevés.
- Contrôle de conteneurs et images : Possibilité de manipuler d’autres conteneurs et de gérer les images Docker.
- Compromission potentielle du système hôte (WSL) : Dans les environnements Windows utilisant le backend WSL, un attaquant peut monter le disque de l’hôte avec les permissions de l’utilisateur exécutant Docker Desktop, menant à une compromission complète du système.
- Identification : CVE-2025-9074
Recommandations :
Bien que l’article ne détaille pas explicitement les recommandations de mitigation, l’existence de cette vulnérabilité implique qu’il est crucial de :
- Garder Docker Desktop et tous ses composants à jour.
- Examiner attentivement les configurations réseau et de sécurité de Docker.
- Restreindre l’accès aux conteneurs et limiter leurs privilèges autant que possible.
- Être particulièrement vigilant lors de l’utilisation de Docker Desktop avec le backend WSL.