Ejecución de código de contenedor a host en Docker Model Runner mediante trust_remote_code sin sandbox en backends de inferencia de Python
nvd · CVSS 4.0
CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
El backend de inferencia vllm-metal en Docker Model Runner en macOS establece incondicionalmente trust_remote_code=True al cargar tokenizadores de modelos, y se ejecuta sin sandboxing. Esto provoca que transformers.AutoTokenizer.from_pretrained() importe y ejecute archivos Python arbitrarios incluidos en cualquier modelo extraído de un registro OCI, lo que resulta en ejecución de código arbitrario en el host de Docker como el usuario de Docker Desktop cuando se activa la inferencia. Cualquier contenedor en la red de Docker puede activar esto llamando a la API model-runner.docker.internal para extraer un modelo malicioso y solicitar inferencia.
Docker Model Runner RCE / escape de contenedor a host: una vulnerabilidad crítica que permite la ejecución de código de contenedor a host en el backend de inferencia MLX / SGLANG / VLLM de Docker Model Runner.
POC de ejecución remota de código de contenedor Docker a host mediante vllm-metal trust_remote_code=True
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.