CVE-2026-5843
Docker Model Runner: ejecución de código de contenedor a host mediante la carga de importlib de model_file en MLX-LM
- Publicado
- 22 may 2026
- Actualizado
- 27 may 2026
- Asignación de CNA
- Docker
- Evidencia observada
- 10 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 7,5 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El backend de inferencia MLX en Docker Model Runner en macOS utiliza la biblioteca MLX-LM, que importa y ejecuta incondicionalmente archivos Python arbitrarios de directorios de modelos a través del campo de configuración model_file en config.json. Cuando el config.json de un modelo especifica un model_file que apunta a un archivo Python, MLX-LM utiliza importlib para cargarlo y ejecutarlo sin una puerta trust_remote_code o una comprobación de seguridad equivalente. El backend MLX se ejecuta sin sandboxing, lo que resulta en ejecución de código arbitrario en el host de Docker como el usuario de Docker Desktop. Cualquier contenedor en la red de Docker puede activar esto llamando a la API model-runner.docker.internal para extraer un modelo malicioso de un registro OCI controlado por un atacante y solicitar inferencia.
Fuentes
POC de escape de contenedores Docker mediante mlx-metal importlib
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.