Una vulnerabilidad crítica en los entornos aislados de Docker permite que código malicioso de un sistema invitado lea y modifique archivos del sistema anfitrión macOS

Una vulnerabilidad crítica identificada en Docker Sandboxes permite que código malicioso alojado en una máquina virtual de macOS logre salir del directorio compartido y tenga la capacidad de leer o modificar cualquier archivo en el sistema anfitrión. Este fallo de seguridad opera con los privilegios de la cuenta del host que ejecuta la máquina virtual y surge a través del servidor host de virtio-fs, el cual seguía enlaces simbólicos al reabrir un archivo eliminado desde una ruta almacenada. El problema afecta a determinadas versiones anteriores y ya fue solucionado, sin que se hayan reportado explotaciones en la práctica ni registros en el catálogo de vulnerabilidades explotadas de la CISA.

Adicionalmente, se corrigió una segunda vulnerabilidad de gravedad alta en el componente de retransmisión que conecta la zona de pruebas con sockets de dominio Unix dentro del espacio de trabajo autorizado. Esta falla permitía que un invitado sustituyera una ruta por un enlace simbólico para forzar al anfitrión a conectarse a sockets externos, exponiendo así datos o funciones del host. Para mitigar ambos problemas en caso de no poder actualizar, se recomienda emplear el modo de clonación y evitar el uso de montajes de host con permisos de lectura y escritura.

El artículo original no aporta más detalle sobre las investigaciones o implicaciones adicionales de estas vulnerabilidades.