Docekr Desktop Engine API接口未授权访问漏洞(CVE-2025-9074)详解，附POC
💡
原文中文，约1100字，阅读约需3分钟。
📝
内容提要
Docker Desktop版本存在漏洞，攻击者可通过请求Docker Engine控制宿主机的所有容器。示例中，使用curl命令在容器内创建目录，成功后可在另一个容器中查看结果。
🎯
关键要点
- Docker Desktop版本存在漏洞，攻击者可控制宿主机的所有容器。
- 通过请求Docker Engine，攻击者可以获取所有容器的信息。
- 示例中使用curl命令在容器内创建目录。
- 成功创建目录后，可以在另一个容器中查看结果。
❓
延伸问答
Docker Desktop的漏洞是什么？
Docker Desktop版本存在未授权访问漏洞，攻击者可以控制宿主机的所有容器。
攻击者如何利用这个漏洞？
攻击者通过请求Docker Engine，可以获取所有容器的信息并执行命令。
能否给出一个利用该漏洞的示例？
示例中使用curl命令在容器内创建目录，成功后可在另一个容器中查看结果。
如何在容器内执行命令？
可以使用curl命令向Docker Engine发送POST请求，执行相应的命令。
这个漏洞对网络安全有什么影响？
该漏洞可能导致攻击者完全控制宿主机的容器，严重威胁网络安全。
如何防范Docker Desktop的这个漏洞？
建议及时更新Docker Desktop版本，确保安全配置，限制对Docker Engine的访问。
➡️
