Docker Sandboxes: il perimetro di isolamento crolla prima della microVM in CVE-2026-121614

Docker Sandboxes, lo strumento di isolamento in microVM per ambienti di sviluppo, contiene una vulnerabilità di esecuzione di codice locale che aggira il proprio modello di minaccia. La falla, pubblicata il 6 novembre 2026 come advisory ZDI-26-894 e identificata come CVE-2026-121614, consente a un attaccante locale di eseguire codice sull'host prima che l'isolamento microVM si attivi. Il ricercatore Nitesh Surana di TrendAI Research ha segnalato la vulnerabilità il 28 agosto 2026. Docker ha rilasciato la correzione nella versione 0.50.0.

Fatti: il meccanismo a due fasi

Questa sezione riporta esclusivamente dati documentati nelle fonti primarie.

La vulnerabilità si attiva durante la creazione di sandbox in clone mode. In questa modalità, Docker Sandboxes monta il repository host in sola lettura all'interno della microVM. Il record CVE-2026-121614 specifica che il mount read-only di per sé non consente di modificare la configurazione Git.

L'advisory ZDI-26-894 descrive la falla come "launching an executable from an untrusted location" nella creazione di sandboxes in clone mode. Il record CVE dettaglia il meccanismo: Docker Sandboxes "do not neutralize repository-controlled Git configuration when running certain host-side Git commands".

Il meccanismo documentato prevede due fasi distinte. Fase 1: l'attaccante modifica la configurazione Git del repository, ad esempio impostando core.fsmonitor o altre direttive che invocano un programma esterno. Questa modifica richiede accesso in scrittura al repository, ottenibile tramite sandbox in direct mode con mount read-write o altri vettori. Fase 2: l'utente legittimo esegue operazioni in clone mode — git fetch o sbx kit push — che innescano l'esecuzione host-side del programma configurato. L'eseguibile "runs on the host with the invoking user's permissions, outside the sandbox's microVM isolation".

"The program runs on the host with the invoking user's permissions, outside the sandbox's microVM isolation." — Record CVE-2026-121614

Il record CVE classifica la falla come CWE-15: External Control of System or Configuration Setting. Il vettore di attacco è locale (AV:L), con interazione utente richiesta (UI:A) e complessità di attacco bassa (AC:L).

Analisi: il paradosso della sandbox che esegue prima di isolare

Questa sezione contiene interpretazioni editoriali basate sui fatti documentati.

Il disegno architetturale di Docker Sandboxes presenta un paradosso: lo strumento costruito per eseguire codice non attendibile in isolamento esegue invece codice non attendibile sull'host prima di attivare quell'isolamento. La microVM diventa irrilevante se il danno avviene nella fase preparatoria.

Il montaggio read-only del repository in clone mode appariva una garanzia sufficiente. La fonte primaria CVE smentisce questo presupposto: la configurazione malevola non nasce nel clone mode, ma viaggia con il repository da una fase precedente. La mancata sanitizzazione host-side trasforma la sandbox da contenitore di sicurezza a canale di esecuzione.

Questo schema — isolamento posticipato su dati pre-compromessi — rappresenta una classe di errore ricorrente negli strumenti di sicurezza che confondono il confine tra preparazione ed esecuzione.

Fatti: cronologia e fonti

Questa sezione riporta esclusivamente dati documentati nelle fonti primarie.

Nitesh Surana di TrendAI Research ha segnalato la vulnerabilità al vendor il 28 agosto 2026. Il rilascio coordinato dell'advisory ZDI-26-894 e del patch è avvenuto il 6 novembre 2026.

Il record CVE-2026-121614 indica le versioni affette: "0.31.0 before 0.50.0". Il fix è confermato nella versione 0.50.0.

Cosa fare adesso

Questa sezione riporta esclusivamente azioni documentate nelle fonti primarie.

Aggiornare alla versione 0.50.0. Il record CVE-2026-121614 dichiara esplicitamente che "The issue is fixed in version 0.50.0". Questa è l'unica mitigazione documentata dalle fonti primarie.

Verificare le versioni in uso. Il range vulnerabile è 0.31.0-0.49.x secondo il record CVE. Le installazioni precedenti alla 0.31.0 non risultano interessate.

Le fonti primarie non specificano mitigazioni temporanee oltre all'aggiornamento. Azioni come il monitoraggio dei repository o l'analisi dell'interazione utente rientrano in buone pratiche generali di sicurezza, ma non sono documentate come mitigazioni verificate per questa vulnerabilità.

Analisi: la lezione del confine non attivato

Questa sezione contiene interpretazioni editoriali basate sui fatti documentati.

CVE-2026-121614 esemplifica una categoria di falla particolarmente insidiosa: quella che sfrutta la fase di bootstrap di uno strumento di protezione. La microVM di Docker Sandboxes non viene violata; viene semplicemente aggirata. L'attaccante non deve compromettere l'hypervisor, evadere dal container o manipolare il kernel: deve solo convincere Git a eseguire un programma prima che la sandbox esista.

La citazione diretta dal record CVE — "outside the sandbox's microVM isolation" — assume un peso specifico in questo contesto. Non descrive una violazione, ma una esecuzione legittima nel contesto sbagliato, in un momento sbagliato. Il sistema fa esattamente ciò che gli viene chiesto, e questo è il problema.

Per gli sviluppatori che usano Docker Sandboxes per contenere codice sorgente di provenienza variabile, la lezione è strutturale: il perimetro di isolamento deve iniziare prima del primo comando, non dopo.

Fonti

• zerodayinitiative.com
• zerodayinitiative.com
• cve.org