CVE-2026-5843
Docker Model Runner : exécution de code du conteneur vers l'hôte via le chargement importlib de model_file dans MLX-LM
- Publié
- 22 mai 2026
- Mise à jour
- 27 mai 2026
- Attribution de CNA
- Docker
- Preuve observée
- 10 août 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XFaible · 30 prochains jours
- Percentile
- 7,5 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Le backend d'inférence MLX dans Docker Model Runner sur macOS utilise la bibliothèque MLX-LM, qui importe et exécute de manière inconditionnelle des fichiers Python arbitraires provenant des répertoires de modèles via le champ de configuration `model_file` dans `config.json`. Lorsqu'un `config.json` d'un modèle spécifie un `model_file` pointant vers un fichier Python, MLX-LM utilise `importlib` pour le charger et l'exécuter sans passerelle `trust_remote_code` ni contrôle de sécurité équivalent. Le backend MLX s'exécute sans sandboxing, ce qui entraîne une exécution de code arbitraire sur l'hôte Docker en tant qu'utilisateur Docker Desktop. Tout conteneur sur le réseau Docker peut déclencher cela en appelant l'API `model-runner.docker.internal` pour extraire un modèle malveillant d'un registre OCI contrôlé par l'attaquant et demander une inférence.
Sources
POC d'évasion de conteneur Docker via mlx-metal importlib
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.