【已复现】Docker Desktop Engine API 未授权访问漏洞安全通告(CVE-2025-9074)

长亭安全应急响应中心 2025-08-22 16:35:00

2025-08-22 16:35 北京

检测业务是否受到此漏洞影响，请联系长亭应急服务团队！

Docker Desktop 是Docker的官方桌面版，支持macOS、Windows 和 Linux系统。它将 Docker 引擎、CLI 客户端、Docker Compose、Notary、Kubernetes 以及一系列开发工具集成在一个易于使用的桌面环境中，让用户能够轻松地在本地机器上构建、分享和运行容器化应用程序。

2025年8月，Docker Desktop官方发布v4.44.3版本修复了CVE-2025-9074。此漏洞导致本地运行的容器可访问宿主机上的Docker Engine API，包括控制其他容器、创建新容器、管理镜像等。在某些情况下可能导致容器逃逸，建议受影响的用户及时更新版本进行修复。

漏洞描述

Description

漏洞成因

该漏洞源于Docker Desktop在默认网络配置中，将Docker守护进程API暴露于内部子网（默认为192.168.65.7:2375），且未对访问来源实施严格的网络隔离或权限控制机制。由于此接口缺乏有效的身份验证与授权保护（无论增强容器隔离功能或本地TCP暴露选项是否启用），本地运行的Linux容器可直接通过该IP和端口与Docker引擎API通信。