Mit der Veröffentlichung von Version 4.44.3 schließt der Docker Desktop eine kritische Sicherheitslücke.
Die Lücke (CVE-2025-9074) ermöglicht es einem entsprechend präparierten Container, der auf Docker Desktop ausgeführt wurde, auf die Docker Engine zugreifen und zusätzliche Container zu starten, ohne dass der Docker-Socket gemountet werden musste. Wenn dies gelingt, wäre der unbefugten Zugriff auf Benutzerdateien auf dem Hostsystem möglich können. Enhanced Container Isolation (ECI) mindert diese Schwachstelle nicht, heißt es in der Ankündigung.
In der CVE Record Information heißt es zur Lücke, dass sie lokal ausgeführten Linux-Containern ermöglicht, über das konfigurierte Docker-Subnetz standardmäßig unter 192.168.65.7:2375 auf die Docker Engine API zuzugreifen. Diese Schwachstelle trete unabhängig davon auf, ob Enhanced Container Isolation aktiviert ist oder nicht, und unabhängig davon, ob die Option „Expose daemon on tcp://localhost:2375 without TLS” aktiviert ist oder nicht. Damit kann es zur Ausführung einer Vielzahl von privilegierten Befehlen an die Engine-API führen, darunter die Steuerung anderer Container, die Erstellung neuer Container und die Verwaltung von Images. Unter bestimmten Umständen (etwa beim Docker Desktop für Windows mit WSL-Backend) ermöglicht dies auch das Mounten des Host-Laufwerks mit denselben Berechtigungen wie des Benutzers, der Docker Desktop ausführt.
