CVE-2026-17106Disclosure

Vulnerabilidad de Docker permite sobrescribir archivos del host y obtener root Se ha revelado una nueva vulnerabilidad en Docker, identificada como CVE-2026-17106 y apodada "CopyEscape" https://blog.elhacker.net/2026/08/vulnerabilidad-de-docker-permite.html

docker cp container:/etc/hosts ./hosts.txt That’s all it took for a malicious container to escape. Meet CVE-2026-17106 aka CopyEscape: a container-to-host arbitrary file-write vulnerability leading to code execution outside the container. https://www.imperva.com/blog/copyescape-taking-over-docker-hosts-with-docker-cp/

🚨 HIGH: CVE-2026-17106 (CVSS 7.1), dubbed Docker CopyEscape, allows a malicious container to overwrite files on the host and potentially trigger code execution. The flaw can turn container isolation into a path toward host compromise, making unpatched Docker environments a serious risk. #Docker #CVE #ContainerSecurity #CyberSecurity #DevSecOps #Infosec

Docker の脆弱性「CopyEscape」（CVE-2026-17106）
ホストのファイルを書き換えられ、乗っ取りに至る危険。 ■ 何が起きるか docker cp の構造を悪用し、ホスト側の任意のファイルが書き換えられる root権限で実行していれば、そのままホスト乗っ取りに至る可能性 ■ 発火条件 静かに乗っ取られていたコンテナから、docker cp（または Sandboxes の sbx cp）でファイルを抜き出した時に発火 実行するのは攻撃者ではなく、善意の管理者・調査員自身 ■ 一番の皮肉 調査員が侵害コンテナから「証拠を抜き出す」その作業自体が引き金になる 調べようとした行為で、調べる側がやられる なお docker cp 関連のCVEは2026年に入って少なくとも4件目 ■ 対応 バージョンアップ、これ一択 ■ 今のバージョンの調べ方 docker version Client / Server 両方を確認できる Docker Desktop は「About Docker Desktop」でも確認可 ■ 判定 Docker Engine / CLI 29.7.0未満は影響あり ただし29.7.0以降にも docker cp 関連の回帰修正が入っているため、29.7.2以上への更新を推奨 Docker Desktop 4.86.0以上 Docker Sandboxes 0.38.0以上 ■ すぐ更新できない場合
（アップデートまでの暫定回避策） 侵害が疑われる・信頼できないコンテナからの docker cp を避ける どうしても必要なら、コンテナを停止してからコピーする 可能なら immutable snapshot など、動かない状態から証拠を取得する 「侵害されたコンテナを調べる」という防御側の行為そのものが、次の侵害の入口になる。 かなり嫌な脆弱性です。 #Docker #コンテナセキュリティ #サイバーセキュリティ #脆弱性 #CVE

Docker Container ortamlarında keşfedilen kritik seviyedeki CVE-2026-17106 (CopyEscape) zafiyetine ilişkin teknik analiz, istismar senaryoları, etkilenen bileşenler, tespit yöntemleri ve alınması gereken güvenlik önlemlerini içeren SOCNova Zafiyet Analiz Raporu yayımlanmıştır. Raporumuza aşağıdaki bağlantı üzerinden ulaşabilirsiniz: https://socnova.com/cve-2026-17106/SOCNova%20CVE-2026-17106-CopyEscape-ZafiyetAnalizRaporu.pdf #Docker #Vulnerability #CTI #CopyEscape #CyberSecurity

A PoC/exploit has been discovered for vulnerability CVE-2026-17106 Vendor: Moby Project (Docker) Product: go-archive Description: The tar extraction routines in moby/go-archive (Unpack, UnpackLayer, Untar/UntarUncompressed, and the ApplyLayer helpers) do not confine filesystem operations to the destination directory. The extractor decides where each archive entry lands using lexical string checks and then performs the filesystem operation on a path that is resolved by the OS, so links introduced by the archive can be followed out of the destination directory. An attacker who controls the contents of an archive can create or overwrite files at arbitrary paths writable by the extracting process. Link: https://github.com/masasron/copyescape-cve-2026-17106 #dbugs_vuln

Impervaは、Dockerのdocker cpでホスト側の任意ファイルを書き換えられる脆弱性CVE-2026-17106を公開した。悪意あるコンテナからコピー操作を誘発すると、Docker CLIを実行するホスト上でコード実行につながる可能性がある。 脆弱性は、Dockerデーモンがコンテナ内をtar化している途中で、攻撃者がディレクトリをシンボリックリンクへ差し替えられる競合状態と、Docker CLI側の展開処理が検証したパスと実際に書き込むパスが一致しない問題を組み合わせて成立する。 これにより、指定したコピー先の外側へ書き込みが可能になる。macOSではシェル起動スクリプトなどの改変、Linuxではsudoでdocker cpを実行した場合にroot所有ファイルへの書き込みにつながる可能性がある。 影響するのはDocker EngineおよびCLI 29.7.2未満、Docker Desktop 4.86.0未満である。Docker Sandboxesのsbx cpにも同種の問題があり、0.38.0で修正された。 公開済みの技術解析とPoCが存在するが、実際の悪用は確認されていない。 https://securityonline.info/docker-copyescape-cve-2026-17106/

this many container escapes in one week is gonna require a spin-off series CVE-2026-17106 https://t.co/c55Uv2OJJg

Dockerのdocker cpコマンドにおけるコンテナエスケープ脆弱性"CopyEscape" (CVE-2026-17106)について。sbx cpにも影響。同コマンドはコンテナ内でtarされたファイルをホストで展開するので、細工されたコンテナが悪意あるtarを応答することでホスト側に任意ファイル書込可能。 https://www.imperva.com/blog/copyescape-taking-over-docker-hosts-with-docker-cp/

Quick heads-up — docker cp patch day. Crafted archives can write outside the destination (CopyEscape / go-archive / CVE-2026-17106). If you still yank files out of untrusted containers, update. Docker Engine/CLI: 29.7.2+ Docker Desktop: 4.86.0+ Podman: 6.1.1+ https://github.com/moby/go-archive/security/advisories/GHSA-hfg8-hc9c-6c3hhttps://www.imperva.com/blog/copyescape-taking-over-docker-hosts-with-docker-cp/https://github.com/containers/podman/releases/tag/v6.1.1

Docker disclosed two Docker Sandboxes vulnerabilities that can allow malicious guest environments to escape workspace isolation and access host resources. CVE-2026-77179, affecting macOS versions before 0.42.0, enables symlink-race redirection of filesystem operations, potentially permitting arbitrary file read/write and host code execution. CVE-2026-79994, affecting versions before 0.42.0, can redirect guest-to-host Unix socket connections to unauthorized AF_UNIX sockets, enabling data disclosure or access to host-side functions. Docker recommends upgrading to 0.42.0 or later, using clone mode, removing writable host mounts, and minimizing sensitive data in shared paths. VULNERABILITY CVE-2026-17106 CVE-2026-2664 CVE-2026-28400 CVE-2026-33990 CVE-2026-5817 CVE-2026-5843 CVE-2026-77179 CVE-2026-79994

CopyEscape: Container-to-host arbitrary file write via docker cp (CVE-2026-17106) https://www.imperva.com/blog/copyescape-taking-over-docker-hosts-with-docker-cp/

Ever run docker cp to pull logs, build artifacts, or test results out of a container? You might want to double-check your Docker version. Imperva published details on CopyEscape (CVE-2026-17106). https://t.co/2Vh77fGUn6

حذر مركز أمن المعلومات السوري من ثغرة أمنية عالية الخطورة في منصة Docker تحمل الرمز CVE-2026-17106 وتسمح للمخترقين بالسيطرة على الأنظمة. ودعا المركز المستخدمين إلى تحديث الإصدارات المتأثرة فوراً لتعزيز أمن بيئات العمل الرقمية وتفادي مخاطر الاختراق.

CVE-2026-17106 (CVSS 7.1) is the Docker CopyEscape vulnerability, letting malicious containers overwrite host files and trigger code execution. #Docker #CopyEscape #CVE202617106 #InfoSec https://securityonline.info/docker-copyescape-cve-2026-17106/

macOS and Linux PoCs: https://github.com/masasron/CopyEscape-CVE-2026-17106 https://t.co/NTd9EawBWJ

CVE-2026-17106: a container-to-host arbitrary file-write in docker cp lets a malicious container overwrite host files or achieve root code execution the moment a user runs a routine copy. Key findings: - The exploit chains two flaws in moby/go-archive v0.2.0: a TOCTOU race lets a live container swap a directory for an absolute symlink mid-walk, and the CLI extractor validates a constructed path but hands the raw symlink target to the kernel, writing outside the user-chosen destination. Validated on Docker Engine 29.6.1 and Docker Desktop 4.81.0. - Impact splits by privilege: on macOS the write lands as the local user, enabling overwrite of shell startup scripts or ~/Library/LaunchAgents persistence. On Linux with sudo docker cp, the PoC replaced /usr/bin/runc with a shell script, converting a file write into root code execution on the next Docker lifecycle call. - Also affects sbx cp in Docker Sandboxes: retrieving an artifact from an untrusted AI-agent sandbox triggers the same destination escape under CVE-2026-17106. Docker Sandboxes 0.38.0 (Aug 6) and Docker Desktop 4.86.0 with Engine 29.7.2 (Aug 10) ship the fixes. - DFIR risk: copying evidence from a suspected compromised container can trigger a waiting payload. The copy that looked like safe data collection becomes the delivery mechanism. Patch to Docker Engine/CLI 29.7.2 and Desktop 4.86.0 now. Until patched, stop the container before copying and avoid sudo docker cp. #DFIR_Radar

@devellloper По докеру там CVE-2026-17106 латали

Docker の脆弱性 CopyEscape CVE-2026-17106 が FIX：ホスト・ファイルの上書きとコード実行の恐れ https://iototsecnews.jp/2026/08/12/docker-copyescape-vulnerability-enables-host-file-overwrite-and-root-code-execution/ コンテナ仮想化技術である Docker で、ファイル転送処理の脆弱性 CVE-2026-17106 が発見されました。稼働中の環境からアーカイブを抽出／展開する際のパス検証不足に起因し、悪意あるデータを転送した際にホスト側の領域外ファイルが上書きされ、最悪の場合は管理者権限の奪取につながる恐れがあります。このソフトウェアはビルドの自動化や開発基盤として幅広く活用されているため、信頼できないデータを扱う現場での影響が懸念されます。対策として、安全なバージョンへの更新／稼働状態でのファイル抽出回避／作業用一時環境の分離／実行権限の最適化が挙げられます。システムを安全に利用するためにも、対象ソフトウェアの迅速なアップデートが推奨されます。 #CVE202617106 #Docker #Vulnerability

コンテナイメージやtarアーカイブを展開する処理に、細工されたtarで展開先の外へファイルを書き込めるパストラバーサル（moby/go-archive、CVE-2026-17106）が公開。Docker/moby由来のGoツールが影響します。