CVE-2026-79994
Publiée le 2026-09-15 · Dernière modification le 2026-09-16
Les bacs à sable (sandboxes) Docker sont affectés par une faille dans la manière dont ils gèrent les relais de sockets Unix entre l'invité et l'hôte. Un utilisateur malveillant disposant d'un accès local à un conteneur invité peut utiliser une condition de concurrence (race condition) via un lien symbolique pour inciter l'hôte à se connecter à des sockets non autorisés, ce qui pourrait entraîner une fuite de données sensibles ou l'obtention de privilèges élevés sur le système hôte. Cette attaque est relativement simple à exécuter une fois que l'attaquant a accès à l'environnement invité et ne nécessite aucune permission spéciale ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The guest-to-host Unix-domain socket relay in Docker Sandboxes validates that a socket path is inside an authorized workspace, but later reconnects using the pathname. A malicious guest can replace an intermediate directory with a symlink between validation and connection, causing the host to connect to an arbitrary AF_UNIX socket outside the shared workspace. This can expose data or host-side capabilities provided by the targeted socket.