CVE-2025-9074 – Docker Desktop (Windows) Container→Host-Schreiben über exponierte Engine-API

Autor: w01f

Status: Proof-of-Concept (nur für Bildungszwecke / autorisierte Tests)

Überblick

Dieses Projekt demonstriert einen PoC für CVE-2025-9074, eine Fehlkonfiguration/Exposition in bestimmten Versionen von Docker Desktop for Windows, bei der die HTTP-API der Docker Engine unter http://192.168.65.7:2375 aus Containern erreichbar ist (und manchmal über SSRF), sodass ein Angreifer einen Container mit einem Bind-Mount auf das Windows-Hostlaufwerk erstellen und Dateien auf den Host schreiben kann.

⚠️ Nur in einer kontrollierten Laborumgebung oder mit ausdrücklicher schriftlicher Genehmigung verwenden. Missbrauch kann Gesetze und Richtlinien verletzen.

Was dieser PoC tut

• Stellt eine Verbindung zur Docker-Engine-API her (Standard: http://192.168.65.7:2375)
• Erstellt einen kurzlebigen Container mit einem Bind-Mount vom Host-C:\ (als /mnt/host/c innerhalb der Linux-VM) nach /host_root im Container
• Führt einen einfachen Befehl aus, um C:\pwn.txt auf dem Host zu erstellen

Wenn das Ziel verwundbar ist, erscheint die Datei auf dem Windows-Host.

Betroffen / Voraussetzungen

• Ziel: Windows-Rechner mit verwundbarem Docker Desktop, bei dem die Engine-API für Container unter 192.168.65.7:2375 (HTTP, ohne TLS) exponiert ist.
• Angriffsperspektive: Jeder Container, der auf diesem Host läuft (oder ein Dienst mit SSRF-Zugriff auf den Engine-Endpunkt).
• Dieser PoC läuft in einem Container (typische reale Angriffsperspektive).

✅ Wenn GET http://192.168.65.7:2375/_ping von innerhalb eines Containers OK zurückgibt, sind die PoC-Bedingungen wahrscheinlich erfüllt.

Repository-Struktur

.
├─ cve_2025_9074_poc.py     # Python PoC (requests-based)
└─ README.md                # This file

Anforderungen

• Python 3.8+
• pip install requests
• Möglichkeit, die Docker-Engine-API (Standard: http://192.168.65.7:2375) aus dem Container zu erreichen, in dem du den PoC ausführst.

Schnellstart (in einem Container auf dem Zielhost)

# 1) Install dependency
pip install --no-input requests

# 2) Run the PoC
python3 cve_2025_9074_poc.py

# Optional: customize output filename or image
# python3 cve_2025_9074_poc.py --outfile test.txt --image busybox

Standardverhalten:

• Ziel-Engine: http://192.168.65.7:2375
• Gebundener Host-Pfad: /mnt/host/c (Windows C:\ aus Sicht der Linux-VM)
• Mount-Punkt im Container: /host_root
• Auf dem Host erstellte Datei: C:\pwn.txt

Befehlszeilenoptionen

--host        Engine host IP (default: 192.168.65.7)
--port        Engine port     (default: 2375)
--image       Container image (default: alpine)
--host-path   Path on engine host/VM to bind (default: /mnt/host/c)
--mount-path  Path inside the container      (default: /host_root)
--outfile     Filename to create on host C:\ (default: pwn.txt)

Erwartetes Ergebnis

Auf einem verwundbaren System solltest du nach dem Ausführen des PoC Folgendes finden:

C:\pwn.txt

das den Text pwned_by_CVE_2025_9074 enthält.

Bereinigung

Der PoC verwendet einen kurzlebigen Container. Wenn du gründlich sein möchtest:

# From a privileged shell with docker CLI access:
docker ps -a --format '{{.ID}}\t{{.Image}}\t{{.Command}}'
# Remove by container ID if any remain:
docker rm -f <CONTAINER_ID>
# Remove the test file on the host:
del C:\pwn.txt

Gegenmaßnahmen (Abwehrhinweise)

• Docker Desktop for Windows auf eine gepatchte Version (oder die neueste verfügbare) aktualisieren.
• Sicherstellen, dass die Docker-Engine-API nicht über unverschlüsseltes HTTP gegenüber nicht vertrauenswürdigen Netzwerken oder Containern exponiert ist.
• TLS-geschützten Zugriff und strenge Zugriffskontrollen für die Engine-API bevorzugen.
• Netzwerkrichtlinien/Firewall-Regeln in Betracht ziehen, die den Containerzugriff auf den Engine-Endpunkt blockieren.

Erkennungsideen (Blue Team)

• Nach Container-Create-Ereignissen suchen, bei denen HostConfig.Binds Pfade wie /mnt/host/c oder andere Host-Laufwerks-Mounts enthält.
• Unerwartete Dateierstellungen auf C:\ überwachen, die auf Prozesse aus dem Docker-Linux-VM-Kontext zurückzuführen sind.
• Netzwerktelemetrie von Container-Namespaces zu 192.168.65.7:2375 (HTTP) ist verdächtig.

Fehlerbehebung

• /ping nicht OK / Verbindung abgelehnt: Die Engine-API ist aus deinem Container nicht erreichbar; der Host ist möglicherweise gepatcht oder nicht exponiert.
• Datei wurde nicht erstellt: Prüfen, ob --host-path korrekt auf das Windows-C:\ aus der Linux-VM abbildet. Manche Umgebungen weichen ab.
• Probleme beim Image-Pull: alpine vorab pullen oder mit --image busybox auf busybox wechseln.

Rechtlicher & ethischer Hinweis

Dieser PoC wird nur für Bildungszwecke und autorisierte Tests bereitgestellt. Der Einsatz gegen Systeme ohne ausdrückliche schriftliche Genehmigung ist illegal und unethisch. Der Autor und die Mitwirkenden sind nicht verantwortlich für Missbrauch oder Schäden.

Lizenz

MIT

Autor: w01f