CVE-2026-5817

总结

Docker Model Runner 在 macOS 上的 vllm-metal 推理后端在加载模型分词器时无条件设置 `trust_remote_code=True`，并且在没有沙箱的情况下运行。这会导致 `transformers.AutoTokenizer.from_pretrained()` 导入并执行从 OCI 注册表拉取的任何模型中所包含的任意 Python 文件，从而在触发推理时，以 Docker Desktop 用户的身份在 Docker 主机上执行任意代码。Docker 网络上的任何容器都可以通过调用 `model-runner.docker.internal` API 拉取恶意模型并请求推理来触发此漏洞。

• CVE-2026-5817-PoCPoC

  Docker Model Runner 容器到主机 RCE / 逃逸：一个严重漏洞，允许在 Docker Model Runner 的 MLX / SGLANG / VLLM 推理后端中实现容器到主机的代码执行。

• CVE-2026-5817PoC

  通过vllm-metal的trust_remote_code=True实现Docker容器到宿主机的远程代码执行POC