Docker Desktop com ECI Falha em Aplicar Restrições de Comando de Socket

A falha reside na forma como o Docker Desktop lida com as configurações de restrição de comando quando o ECI está ativo. A intenção do recurso de restrição de comando é limitar os comandos que um contêiner pode executar através do socket Docker, mitigando o risco de exploração. No entanto, devido a um erro de software, essas configurações são ignoradas, permitindo que qualquer comando seja executado no socket. Um atacante com acesso a um contêiner com o socket Docker montado pode, portanto, executar comandos arbitrários no host, potencialmente obtendo acesso root e comprometendo todo o sistema. Isso é particularmente preocupante em ambientes de produção onde contêineres são usados para executar aplicações críticas.

Organizations heavily reliant on Docker Desktop for development or production environments, particularly those employing ECI for enhanced security, are at significant risk. Shared hosting environments where multiple users have access to Docker containers are also vulnerable. Legacy Docker deployments using older configurations may be more susceptible.

• docker / container:

# Check for Docker Desktop version 4.46.0
docker version

• docker / container:

# Inspect ECI configuration (if applicable)
docker system info | grep -i "enhanced container isolation"

• linux / server:

# Monitor Docker daemon logs for unusual command executions
journalctl -u docker -f

1. 2025-09-26Disclosure

   disclosure

1. Reservado2025-09-17
2. Publicada2025-09-26
3. Modificada2026-02-26
4. EPSS atualizado2026-03-23

A mitigação imediata para esta vulnerabilidade envolve garantir que as configurações de restrição de comando sejam aplicadas corretamente. Verifique se o ECI está corretamente configurado e se as restrições de comando estão sendo aplicadas aos contêineres que utilizam o socket Docker. Como solução alternativa, desative o ECI, mas esteja ciente de que isso reduz o nível geral de segurança. A atualização para uma versão corrigida do Docker Desktop é a solução recomendada, assim que disponível. Após a aplicação da correção, confirme a funcionalidade das restrições de comando executando comandos restritos dentro de um contêiner e verificando se eles são bloqueados conforme o esperado.