CVE-2026-5817
Ejecución de código de contenedor a host en Docker Model Runner mediante trust_remote_code sin sandbox en backends de inferencia de Python
- Publicado
- 22 may 2026
- Actualizado
- 27 may 2026
- Asignación de CNA
- Docker
- Evidencia observada
- 10 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 7,5 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El backend de inferencia vllm-metal en Docker Model Runner en macOS establece incondicionalmente trust_remote_code=True al cargar tokenizadores de modelos, y se ejecuta sin sandboxing. Esto provoca que transformers.AutoTokenizer.from_pretrained() importe y ejecute archivos Python arbitrarios incluidos en cualquier modelo extraído de un registro OCI, lo que resulta en ejecución de código arbitrario en el host de Docker como el usuario de Docker Desktop cuando se activa la inferencia. Cualquier contenedor en la red de Docker puede activar esto llamando a la API model-runner.docker.internal para extraer un modelo malicioso y solicitar inferencia.
Fuentes
Docker Model Runner RCE / escape de contenedor a host: una vulnerabilidad crítica que permite la ejecución de código de contenedor a host en el backend de inferencia MLX / SGLANG / VLLM de Docker Model Runner.
POC de ejecución remota de código de contenedor Docker a host mediante vllm-metal trust_remote_code=True
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.