Eine als „CopyEscape“ bezeichnete Schwachstelle in Docker erlaubt bösartigen Containern, Dateien auf dem Host-System zu überschreiben – und unter Umständen Code mit Root-Rechten auszuführen. Docker hat die Lücke (CVE-2026-17106) inzwischen geschlossen.
Ausbruch über „docker cp“
Die Schwachstelle steckt in Dockers Archiv-Bibliothek moby/go-archive und tritt beim Kopieren mit dem Befehl „docker cp“ auf. Über eine sogenannte TOCTOU-Race-Condition (Time-of-Check-to-Time-of-Use) beim Durchlaufen der Dateien kann ein manipulierter Container Dateien außerhalb des vorgesehenen Ziels anlegen oder überschreiben – auf dem Rechner, der die Docker-CLI ausführt.
Vom Container zum Host-Root
Gelingt der Ausbruch, lassen sich Host-Dateien überschreiben und in bestimmten Konfigurationen Code mit Root-Rechten ausführen. Damit hebt die Lücke die Isolation zwischen Container und Wirtssystem auf – der Albtraum jeder Container-Umgebung.
Updates verfügbar
Behoben ist das Problem in Docker Engine und CLI 29.7.2, Docker Desktop 4.86.0 sowie Docker Sandboxes 0.38.0. Wer Docker einsetzt – ob im Homelab oder in Produktion – sollte zeitnah aktualisieren.
