CVE-2025-9074 – Docker Desktop (Windows): запись из контейнера на хост через открытый API Docker Engine

Автор: w01f

Статус: Proof-of-Concept (только для обучения / авторизованного тестирования)

Обзор

Этот проект демонстрирует PoC для CVE-2025-9074 — ошибки конфигурации/небезопасной экспозиции в определённых версиях Docker Desktop для Windows, при которой HTTP API Docker Engine по адресу http://192.168.65.7:2375 доступен из контейнеров (а иногда и через SSRF), что позволяет атакующему создать контейнер с bind mount к диску Windows-хоста и записывать файлы на хост.

⚠️ Используйте только в контролируемой лаборатории или с явного письменного разрешения. Неправомерное использование может нарушать законы и политики.

Что делает этот PoC

Подключается к API Docker Engine (по умолчанию: http://192.168.65.7:2375)
Создаёт недолговечный контейнер с bind mount с хостового C:\ (как /mnt/host/c внутри Linux VM) в /host_root внутри контейнера
Выполняет простую команду для создания C:\pwn.txt на хосте

Если цель уязвима, вы увидите, как файл появится на Windows-хосте.

Затронутые версии / Предусловия

Цель: Windows-машина с уязвимой версией Docker Desktop, где Engine API доступен контейнерам по адресу 192.168.65.7:2375 (HTTP, без TLS).
Позиция атакующего: любой контейнер, работающий на этом хосте (или сервис с SSRF-доступом к endpoint'у движка).
Этот PoC запускается внутри контейнера (типичная реальная позиция атакующего).

✅ Если GET http://192.168.65.7:2375/_ping изнутри контейнера возвращает OK, условия для PoC, скорее всего, выполнены.

Структура репозитория

.
├─ cve_2025_9074_poc.py     # Python PoC (requests-based)
└─ README.md                # This file

Требования

Python 3.8+
pip install requests
Возможность доступа к API Docker Engine (по умолчанию: http://192.168.65.7:2375) из контейнера, в котором вы запускаете PoC

Быстрый старт (внутри контейнера на целевой машине)

# 1) Install dependency
pip install --no-input requests

# 2) Run the PoC
python3 cve_2025_9074_poc.py

# Optional: customize output filename or image
# python3 cve_2025_9074_poc.py --outfile test.txt --image busybox

Поведение по умолчанию:

Целевой движок: http://192.168.65.7:2375
Привязываемый путь на хосте: /mnt/host/c (Windows C:\ как видно из Linux VM)
Точка монтирования в контейнере: /host_root
Создаваемый на хосте файл: C:\pwn.txt

Параметры командной строки

--host        Engine host IP (default: 192.168.65.7)
--port        Engine port     (default: 2375)
--image       Container image (default: alpine)
--host-path   Path on engine host/VM to bind (default: /mnt/host/c)
--mount-path  Path inside the container      (default: /host_root)
--outfile     Filename to create on host C:\ (default: pwn.txt)

Ожидаемый результат

В уязвимой системе после запуска PoC вы должны обнаружить:

C:\pwn.txt

содержащий текст pwned_by_CVE_2025_9074.

Очистка

PoC использует недолговечный контейнер. Если вы хотите быть основательными:

# From a privileged shell with docker CLI access:
docker ps -a --format '{{.ID}}\t{{.Image}}\t{{.Command}}'
# Remove by container ID if any remain:
docker rm -f <CONTAINER_ID>
# Remove the test file on the host:
del C:\pwn.txt

Смягчение (защитные рекомендации)

Обновите Docker Desktop для Windows до исправленной версии (или последней доступной).
Убедитесь, что API Docker Engine не открыт через обычный HTTP для недоверенных сетей или контейнеров.
Отдавайте предпочтение доступу с защитой TLS и строгим контролем доступа для Engine API.
Рассмотрите сетевые политики / правила межсетевого экрана, блокирующие доступ контейнеров к endpoint'у движка.

Идеи для обнаружения (Blue Team)

Ищите события container create, где HostConfig.Binds включает пути вида /mnt/host/c или другие монтирования дисков хоста.
Отслеживайте неожиданные создания файлов на C:\ процессами, относящимися к контексту Docker Linux VM.
Сетевые данные от пространств имён контейнеров к 192.168.65.7:2375 (HTTP) подозрительны.

Устранение неполадок

/ping не возвращает OK / соединение отклонено: API движка недоступен из вашего контейнера; возможно, на хосте установлен патч или API не открыт.
Файл не создан: проверьте, что --host-path корректно сопоставляется с Windows C:\ из Linux VM. В некоторых окружениях это различается.
Проблемы с загрузкой образа: заранее загрузите alpine или переключитесь на busybox с помощью --image busybox.

Правовое и этическое уведомление

Этот PoC предоставляется только для образовательных целей и авторизованного тестирования. Запуск против систем без явного письменного разрешения незаконен и неэтичен. Автор и участники не несут ответственности за неправомерное использование или ущерб.

Лицензия

MIT