CVE-2026-17106 — CopyEscape: كتابة تعسفية للملفات من الحاوية إلى المضيف عبر docker cp

صورة توزيع من HackSpeak. هذا المستودع هو صورة توزيع لـ PoC الخاص بـ CopyEscape (CVE-2026-17106) الذي نشره فريق Imperva الأحمر (Ron Masas)، والكود مطابق للمستودع العلوي؛ المستودع العلوي لا يتضمن ترخيصًا، وبالتالي تعتمد الصورة على MIT License، حقوق النشر (c) 2026 HackSpeak، بينما تعود حقوق الكود المصدري إلى مؤلف الكود الأصلي.

⚠️ للاستخدام في البحث الأمني والاختبار المصرح به فقط؛ العرض التوضيحي على Linux سيؤدي إلى الكتابة فوق /usr/bin/runc، لذا يُرجى تشغيله داخل جهاز افتراضي لمرة واحدة وإنشاء نسخة احتياطية قابلة للتحقق أولاً، ولا تنفّذه على أنظمة غير مصرح بها أو في بيئات الإنتاج.

ملخص الثغرة

CopyEscape (CVE-2026-17106) هي ثغرة كتابة تعسفية للملفات من الحاوية إلى المضيف في أمر docker cp (وكذلك sbx cp في Docker Sandboxes)، وقد اكتشفها فريق Imperva الأحمر (Ron Masas).

• الآلية: docker cp لا يقوم بنسخ مباشر من نظام الملفات — بل ينفّذ الخفي (daemon) دالة filepath.WalkDir على نظام ملفات الحاوية لإنشاء أرشيف tar، ويستلمها CLI ثم يقوم بفك ضغطها واستخراجها على جانب العميل؛
• الخلل الأول (سباق TOCTOU على جانب الأرشفة): يقيّد الخفي حالة كائن الحاوية لكنه لا يجمّد العمليات داخل الحاوية؛ يمكن لعملية داخل الحاوية استبدال دليل بوصلة رمزية مطلقة أثناء عملية التجوال، بحيث يرى addTarFile بعد ذلك رابطًا رمزيًا عند استدعاء Lstat مرة أخرى → يظهر في تدفق tar إدخال غير متناسق (أولًا ترويسة الرابط الرمزي، يليها إدخال "ملف فرعي")؛
• الخلل الثاني (معالجة الروابط الرمزية على جانب الاستخراج): يتم أثناء الاستخراج فحص حدود المسار المُنشأ بعد filepath.Join، لكن دالة os.Symlink الفعلية تستخدم hdr.Linkname الأصلي غير المفحوص (والذي قد يشير إلى مسار مطلق)؛ وعند استخراج الملفات الفرعية لاحقًا، يتبع النواة ذلك الرابط الرمزي، فتتم الكتابة خارج الوجهة التي حددها المستخدم؛
• الأثر: يمكن لحاوية خبيثة أن تدفع CLI إلى إنشاء/استبدال أي ملف قابل للكتابة على المضيف بصلاحيات المستخدم الذي يشغّل docker cp. على macOS يمكن استبدال سكربتات تشغيل الصدفة أو ملفات ~/Library/LaunchAgents للاستمرارية؛ وعلى Linux يمكن استخدام sudo docker cp لاستبدال /usr/bin/runc، ومن ثم تتمكن عمليات دورة حياة Docker اللاحقة من تنفيذ كود بصلاحيات root.

الإصدارات التي تم التحقق منها والإصدارات المُصححة

• الإصدارات التي تم التحقق منها: Docker Engine/CLI 29.6.1، Docker Desktop 4.81.0؛
• الإصدارات المُصححة: Docker Engine/CLI 29.7.2، Docker Desktop 4.86.0، Docker Sandboxes 0.38.0 (2026-08-06)؛
• تخفيف مؤقت: أوقف الحاوية قبل النسخ؛ وتجنّب استخدام sudo docker cp مع حاويات غير موثوقة.

الاستخدام

عرضان توضيحيان (بيئة الاختبار مطابقة للبيئة الرسمية: Engine 29.6.1 / Desktop 4.81.0):

macOS (غير مدمر، ينشئ ~/pwnd)

cd macos
./demo-macos.sh

Linux (تأثير كبير، يستبدل /usr/bin/runc)

cd linux
# اتبع التعليمات داخل مجلد linux/ لبناء الصورة وتشغيلها؛ ⚠️ تأكد من عمل نسخة احتياطية قبل استبدال runc

الخطوات التفصيلية موجودة في ملفات التعليمات داخل الدليلين الفرعيين macos/ و linux/ في هذا المستودع.

إخلاء مسؤولية

• للاستخدام في البحث الأمني والتحقق من الثغرات والاختبار الدفاعي فقط، ويُرجى التشغيل في بيئة معزولة وعدم استخدامه ضد أنظمة غير مصرح بها؛
• العرض التوضيحي على Linux سيستبدل ملفًا ثنائيًا حاسمًا على المضيف (/usr/bin/runc)، ويجب تشغيله داخل جهاز افتراضي لمرة واحدة مع إنشاء نسخة احتياطية.

روابط مرجعية

• المستودع العلوي الأصلي (مصدر هذا الـ PoC): https://github.com/masasron/CopyEscape-CVE-2026-17106
• مدونة Imperva الرسمية: CopyEscape: Taking Over Docker Hosts with docker cp — https://www.imperva.com/blog/copyescape-taking-over-docker-hosts-with-docker-cp/
• تغطية ذات صلة: أكد معهد 360 لأبحاث الثغرات إعادة إنتاج الثغرة (CVE-2026-17106)