【缝隙公告】Docker docker cp 容器到主机肆意文件写入缝隙(CVE-2026-17106)
颁布功夫 2026-08-11一、缝隙概述
Docker是一套用于构建、运行和治理容器化利用的软件平台 ，提供Docker Engine、Docker CLI和Docker Desktop等组件 ，可用于利用开发、测试、持续集成及出产环境部署 。docker cp用于在容器与本地文件系统之间复造文件或目录 ，Docker Sandboxes的sbx cp则用于在隔离的Sandbox环境与宿主机之间传输文件 。
2026年8月11日 ，Z6人生就是博安全应急响应中心（VSRC）监测到Docker docker cp 容器到主机肆意文件写入缝隙 。该缝隙由归档过程中存在的文件系统竞态前提及解压阶段符号链接指标蹊径限度缺点共同导致 。攻击者节造恶意容器或Sandbox后 ，可期待用户或自动化系统执行文件复造操作 ，使Docker CLI在指标目录之表创建或覆盖其权限领域内的文件 ，可能篡改Shell配置、SSH配置、源代码、可执行文件及悠久化文件；当复造操作以高权限运行时 ，还可能进一步导致宿主机Root权限代码执行 ，对开发、CI及事务响应环境造成安全风险 。
二、影响领域
Docker Engine / CLI < 29.7.2
Docker Desktop < 4.86.0
Docker Sandboxes < 0.38.0
三、安全措施
3.1 升级版本
官方已颁布建复补丁 ，以建复该缝隙
Docker Engine / CLI >= 29.7.2
Docker Desktop >= 4.86.0
Docker Sandboxes >= 0.38.0
下载链接：
Docker Engine：https://docs.docker.com/engine/release-notes/
Docker Desktop：https://docs.docker.com/desktop/release-notes/
Docker Sandboxes：https://github.com/docker/sandbox/releases/
3.2 一时措施
在无法当即升级的情况下 ，应预防从在运行且不成信、已遭入侵或起源未知的容器及Sandbox中直接向敏感宿主环境复造文件；确需使用docker cp时 ，可先终场容器再执行复造操作 ，以降低利用运行中容器文件系统竞态前提的风险 。同时应遵循最幼权限准则 ，预防使用高权限账户或通过sudo docker cp执行文件复造 ，并预防由Root权限自动化工作直接处置不成信容器天生的文件 。对于可疑容器、CI工作、开发测试及事务响应场景 ，建议使用低权限账户、一时虚构机或其他隔离环境提取文件 ，并加强对异常文件覆盖、关键配置及可执行文件调换等行为的日志审计和监控 ，降低肆意文件写入进一步演变为宿主机代码执行的风险 。
3.3 通用建议
定期更新系统补丁 ，削减系统缝隙 ，提升服务器的安全性 。
加强系统和网络的接见节造 ，批改防火墙战术 ，关关非必要的利用端口或服务 ，削减将危险服务（如SSH、RDP等）露出到公网 ，削减攻击面 。
使用企业级安全产品 ，提升企业的网络安全机能 。
加强系统用户和权限治理 ，启用多成分认证机造和最幼权限准则 ，用户和软件权限应维持在最低限度 。
启用强密码战术并设置为定期批改 。
3.4 参考链接
https://www.imperva.com/blog/copyescape-taking-over-docker-hosts-with-docker-cp/
京公网安备11010802024551号