【误差通告】Docker docker cp 容器到主机恣意文件写入误差(CVE-2026-17106)
宣布时间 2026-08-11一、误差概述
Docker是一套用于构建、运行和治理容器化应用的软件平台，提供Docker Engine、Docker CLI和Docker Desktop等组件，可用于应用开发、测试、一连集成及生产情形安排。docker cp用于在容器与外地文件系统之间复制文件或目录，Docker Sandboxes的sbx cp则用于在隔离的Sandbox情形与宿主机之间传输文件。
2026年8月11日，尊龙凯时清静应急响应中心（VSRC）监测到Docker docker cp 容器到主机恣意文件写入误差。该误差由归档历程中保存的文件系统竞态条件及解压阶段符号链接目的路径限制缺陷配合导致。攻击者控制恶意容器或Sandbox后，可期待用户或自动化系统执行文件复制操作，使Docker CLI在目的目录之外建设或笼罩其权限规模内的文件，可能改动Shell设置、SSH设置、源代码、可执行文件及长期化文件；当复制操作以高权限运行时，还可能进一步导致宿主机Root权限代码执行，对开发、CI及事务响应情形造成清静危害。
二、影响规模
Docker Engine / CLI < 29.7.2
Docker Desktop < 4.86.0
Docker Sandboxes < 0.38.0
三、清静步伐
3.1 升级版本
官方已宣布修复补�。孕薷锤梦蟛�
Docker Engine / CLI >= 29.7.2
Docker Desktop >= 4.86.0
Docker Sandboxes >= 0.38.0
下载链接：
Docker Engine：https://docs.docker.com/engine/release-notes/
Docker Desktop：https://docs.docker.com/desktop/release-notes/
Docker Sandboxes：https://github.com/docker/sandbox/releases/
3.2 暂时步伐
在无法连忙升级的情形下，应阻止从正在运行且不可信、已遭入侵或泉源未知的容器及Sandbox中直接向敏感宿主情形复制文件；确需使用docker cp时，可先阻止容器再执行复制操作，以降低使用运行中容器文件系统竞态条件的危害。同时应遵照最小权限原则，阻止使用高权限账户或通过sudo docker cp执行文件复制，并阻止由Root权限自动化使命直接处置惩罚不可信容器天生的文件。关于可疑容器、CI使命、开发测试及事务响应场景，建议使用低权限账户、暂时虚拟机或其他隔离情形提取文件，并增强对异常文件笼罩、要害设置及可执行文件变换等行为的日志审计和监控，降低恣意文件写入进一步演变为宿主机代码执行的危害。
3.3 通用建议
按期更新系统补�。蕴低澄蟛睿嵘衿鞯那寰残�。
增强系统和网络的会见控制，修改防火墙战略，关闭非须要的应用端口或服务，镌汰将危险服务（如SSH、RDP等）袒露到公网，镌汰攻击面。
使用企业级清静产品，提升企业的网络清静性能。
增强系统用户和权限治理，启用多因素认证机制和最小权限原则，用户和软件权限应坚持在最低限度。
启用强密码战略并设置为按期修改。
3.4 参考链接
https://www.imperva.com/blog/copyescape-taking-over-docker-hosts-with-docker-cp/
京公网安备11010802024551号