Nieuws
image

Docker Desktop-lek geeft malafide containers toegang tot host-systeem

dinsdag 26 augustus 2025, 13:53 door Redactie, 4 reacties

Een kritieke kwetsbaarheid in Docker Desktop maakt het mogelijk voor malafide containers om toegang tot het onderliggende host-systeem te krijgen. Het beveiligingslek (CVE-2025-9074) is vorige week met versie 4.44.3 gepatcht. Docker Desktop is een applicatie waarmee softwareontwikkelaars op een lokale machine applicaties in een container kunnen ontwikkelen en draaien.

De kritieke kwetsbaarheid maakt het mogelijk voor een malicious container om de Docker Engine te benaderen en andere Docker containers te starten, zonder dat de Docker socket gemount moet zijn. Dit kan ervoor zorgen dat een aanvaller via de malicious container toegang tot het onderliggende host-systeem kan krijgen. Ook als Enhanced Container Isolation (ECI) staat ingeschakeld. Deze beveiligingsmaatregel moet juist voorkomen dat malicious containers het host-systeem kunnen compromitteren.

"De kwetsbaarheid is op zichzelf vrij eenvoudig: De Docker Engine socket zou nooit toegankelijk voor onbetrouwbare code of gebruikers moeten zijn. Dit socket is de management API voor Docker en er toegang toe hebben geeft volledige toegang tot alles wat de Docker-applicatie kan doen", zegt onderzoeker Philippe Dugre. Een aanvaller zou zo in het ergste geval bestanden op de host kunnen lezen en schrijven. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.3.

Reacties (4)
Reageer met quote
26-08-2025, 14:02 door Anoniem
Veelvoorkomende fout en dit is al zo lang bekend. Container technologie zonder mandatory access control is ook incompleet.
Reageer met quote
26-08-2025, 15:35 door Anoniem
Bedankt voor deze melding, Redactie. Deze had ik helemaal gemist.

Gelijk even mijn Docker updaten.
Reageer met quote
27-08-2025, 12:56 door Anoniem
Ik denk niet dat Docker onder Linux veel wordt gebruikt (gezien de beschikbare alternatieven), meer een Windows en Mac ding.

De Docker Engine socket zou nooit toegankelijk voor onbetrouwbare code of gebruikers moeten zijn
Onder Linux kan je dat natuurlijk afvangen met docker SELinux policy: https://opensource.com/article/20/11/selinux-containers
Windows of Mac weet ik niet.
Reageer met quote
27-08-2025, 23:19 door Anoniem
Door Anoniem: Ik denk niet dat Docker onder Linux veel wordt gebruikt (gezien de beschikbare alternatieven), meer een Windows en Mac ding.

De Docker Engine socket zou nooit toegankelijk voor onbetrouwbare code of gebruikers moeten zijn
Onder Linux kan je dat natuurlijk afvangen met docker SELinux policy: https://opensource.com/article/20/11/selinux-containers
Windows of Mac weet ik niet.

Onder Linux is het wel verleidelijk inderdaad om VirtualBox of zo te installeren in plaats van Docker te gaan configureren.

100% mee eens
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.

Zoeken
search