Docker-Sandboxes-Lücke mit 9,4: Ausbruch auf den Mac-Host

Docker hat am 15. September 2026 eine kritische Lücke in Docker Sandboxes offengelegt – dem Werkzeug, das jeden KI-Coding-Agenten in einer eigenen kleinen virtuellen Maschine auf dem Rechner der Entwicklerin oder des Entwicklers ausführt und dabei nur das Projektverzeichnis hineinreicht. Unter macOS konnte Code aus dieser Sandbox den gemeinsam genutzten Arbeitsbereich verlassen und jede Datei auf dem Host lesen oder verändern. Docker, das den Eintrag vergeben hat, bewertet CVE-2026-77179 mit 9,4 von 10 als kritisch.

Nach der Herstellerbeschreibung im Eintrag der National Vulnerability Database folgt der virtio-fs-Host-Server – die Host-Seite der Dateifreigabe zwischen Mac und virtueller Maschine – fehlerhaft Symlinks, wenn er eine gelöschte Datei über einen gespeicherten Pfad erneut öffnet. Ein bösartiger Gast kann ein übergeordnetes Verzeichnis durch einen Symlink ersetzen, den Arbeitsbereich verlassen und beliebige Host-Dateien mit den Rechten des VMM-Benutzers lesen oder verändern – bis hin zu, so die Beschreibung, möglicher Codeausführung auf dem Host. Dieselbe Version schloss ein zweites Symlink-Rennen, CVE-2026-79994, von Docker mit 8,7 als hoch eingestuft: Es steckt im Relay, über das eine Sandbox Unix-Sockets in ihrem Arbeitsbereich erreicht; ein Gast konnte zwischen Pfadprüfung und Verbindung ein Verzeichnis gegen einen Symlink tauschen und so Sockets außerhalb erreichen.

Der Patch kam zuerst, die Formalitäten danach. Version 0.42.0 erschien laut Dockers Release-Seite auf GitHub am 7. September 2026; die CVE-Einträge folgten acht Tage später am 15. September, wie The Hacker News in seinem Beitrag vom 17. September festhielt. Die Release-Notes führen inzwischen beide CVE-Nummern unter einer Sicherheitsüberschrift auf. Die kritische Lücke betrifft unter macOS die Versionen 0.28.0 bis ausschließlich 0.42.0, die zweite die Versionen 0.37.0 bis 0.42.0.

Die Tragweite ergibt sich aus dem Zweck des Produkts. Docker Sandboxes existiert, damit ein KI-Coding-Agent, der in der virtuellen Maschine Pakete installiert und Befehle mit sudo ausführt, den Host nicht anfassen kann – und Dockers eigene Isolationsdokumentation hält fest, dass die Hypervisor-Grenze "die Isolationskontrolle ist, nicht die Rechtetrennung innerhalb der VM". Ein Loch in der Dateifreigabe hebt diese Zusage auf. Der Angriff setzt Code voraus, der bereits in der Sandbox läuft, und der im NVD-Eintrag hinterlegte Bewertungsvektor stuft ihn als lokalen Angriff ein – doch genau dieses Szenario soll das Produkt einfangen: ein gegen seine Nutzer gewendeter Agent oder alles Bösartige, was dieser Agent installiert und ausführt.

Docker berichtet von keinerlei Ausnutzung. Die von CISA ergänzte Einschätzung im CVE-Eintrag führt die Ausnutzung als "keine", und die Lücke stand im Katalog bekannter ausgenutzter Schwachstellen (KEV) der CISA in der am 16. September veröffentlichten Fassung nicht. Docker schreibt die kritische Lücke Oren Yomtov von accomplish.ai zu, die zweite Jurre van Bergen von ThreatNotify. Die Abhilfe ist das Update auf 0.42.0 oder neuer. Wer noch nicht aktualisieren kann, dem rät Docker für beide Lücken zum Clone-Modus und zum Verzicht auf Host-Mounts mit Schreibrechten – mit bekannten Grenzen: Der Clone-Modus funktioniert nur bei Git-Projekten, muss beim Anlegen der Sandbox gesetzt werden und schützt das Repository vor Änderungen, nicht vor dem Lesen; nicht versionierte Dateien wie .env bleiben in der Sandbox lesbar.