科技媒体bleepingcomputer报道,Windows和macOS版Docker Desktop存在高危服务端请求伪造漏洞(CVE-2025-9074),危害评分达9.3。在启用增强容器隔离(ECI)功能时,攻击者可通过恶意容器入侵宿主机,窃取或篡改文件。
安全研究员Felix Boulet发现,该漏洞允许任意容器未经认证访问Docker Engine API,进而挂载宿主机磁盘。Windows平台风险更高,攻击者可能覆盖系统文件并提权。Docker已在4.44.3版本中修复漏洞,建议用户立即升级。