Docker API – Nicht authentifizierte RCE (CVE-2025-9074)

Eine kritische Sicherheitslücke CVE-2025-9074 in Docker Desktop ermöglicht lokal laufenden Linux-Containern, eine Verbindung zur Docker Engine API über das Standard-Subnetz (192.168.65.7:2375) herzustellen. Das Problem besteht unabhängig von Enhanced Container Isolation (ECI) oder TCP-Expositionseinstellungen. Proof-of-Concept-Exploit-Code für CVE-2025-9074 ist öffentlich verfügbar. Die Sicherheitslücke kann unbefugten Zugriff auf Benutzerdateien des Hostsystems ermöglichen. Daher wird das Risiko als hoch eingestuft.

Ein eigenständiges Bash-Skript, um exponierte Docker-APIs (typischerweise Port 2375) ohne Authentifizierung auszunutzen. Dieses Tool automatisiert den Containerausbruch durch Volume-Mounting und ermöglicht die Ausführung beliebiger Befehle auf dem Hostsystem mit Root-/Administratorrechten.

Funktionen

• Universelle OS-Unterstützung: Erkennt automatisch das Zielbetriebssystem (Linux vs. Windows/Docker Desktop) und passt den Mountpunkt entsprechend an (/:/host_root oder /mnt/host/c:/host_root).
• Air-Gap-tauglich: Ermittelt und verwendet vorhandene Images auf dem Zielsystem. Erfordert keinen Internetzugriff auf dem Ziel, um neue Images zu ziehen.
• Automatische Bereinigung: Entfernt den Container nach der Befehlsausführung zwangsweise, um die Spur zu minimieren.
• Null Abhängigkeiten: Geschrieben in reinem Bash mit Standard-curl, grep und sed. Keine jq oder externen Binärdateien erforderlich.

Verwendung

chmod +x exploit.sh
./exploit.sh <TARGET_IP> <COMMAND> [PORT]

Proof-of-Concept