Docker Desktop con ECI no aplica las restricciones de comandos del socket

Esta vulnerabilidad permite a un atacante, dentro de un contenedor con acceso al socket Docker, ejecutar comandos arbitrarios en el host. Dado que ECI está diseñado para aislar contenedores, la falla en la aplicación de las restricciones de comandos socava este aislamiento. Un atacante podría, por ejemplo, escalar privilegios para obtener acceso al sistema host, robar datos confidenciales, o incluso tomar control completo del sistema. La severidad se agrava por el hecho de que ECI se utiliza en entornos donde la seguridad es crítica, como entornos de desarrollo y producción con requisitos de cumplimiento normativo.

Organizations heavily reliant on Docker Desktop for development or production environments, particularly those employing ECI for enhanced security, are at significant risk. Shared hosting environments where multiple users have access to Docker containers are also vulnerable. Legacy Docker deployments using older configurations may be more susceptible.

• docker / container:

# Check for Docker Desktop version 4.46.0
docker version

• docker / container:

# Inspect ECI configuration (if applicable)
docker system info | grep -i "enhanced container isolation"

• linux / server:

# Monitor Docker daemon logs for unusual command executions
journalctl -u docker -f

1. 2025-09-26Disclosure

   disclosure

1. Reservado2025-09-17
2. Publicada2025-09-26
3. Modificada2026-02-26
4. EPSS actualizado2026-03-23

La mitigación inmediata es deshabilitar ECI hasta que se pueda aplicar una solución. Si ECI es esencial, se recomienda revisar cuidadosamente las configuraciones de restricciones de comandos para asegurar que se apliquen correctamente. Aunque no hay una versión corregida disponible en el momento de la publicación, se espera que Docker publique una actualización en breve. Monitoree los canales oficiales de Docker para obtener información sobre la disponibilidad de la actualización. Como medida temporal, se pueden implementar reglas en un firewall o proxy para restringir el acceso al socket Docker desde contenedores no confiables.