Docker Sandboxes: una critica e una high consentono escape su macOS da agenti AI

Docker ha pubblicato il 15 settembre 2026 l'advisory per due vulnerabilità in Docker Sandboxes, la piattaforma di isolamento per agenti di coding AI. La più grave, CVE-2026-77179 con punteggio CVSS 9.4, consente a codice malevolo eseguito nella microVM di leggere e modificare file arbitrari sul host macOS sfruttando una race condition nel server virtio-fs. Una seconda falla, CVE-2026-79994 (CVSS 8.7, High), espone socket Unix al di fuori del workspace. La correzione, versione 0.42.0, è stata rilasciata l'8 settembre 2026.

La promessa e il difetto: da marzo si diceva che i symlink erano bloccati

Docker Sandboxes esegue ogni agente AI in una microVM dedicata, condividendo la directory del progetto tra host e ospite. La garanzia di sicurezza si fonda sull'ipervisore: il confine di isolamento è il kernel del sistema host, non la separazione dei privilegi all'interno della VM. Secondo la documentazione di Docker, disponibile almeno dal marzo 2026, i symlink che puntano al di fuori del workspace non vengono seguiti. Questa asserzione si è rivelata incongruente con l'implementazione effettiva del server virtio-fs.

Il virtio-fs è un filesystem condiviso ottimizzato per ambienti virtualizzati, che permette all'ospite di accedere a directory host senza passare attraverso protocolli di rete emulati. In Docker Sandboxes, il server virtio-fs sul host memorizza un percorso autorizzato dopo averlo verificato, ma lo riapre successivamente senza riconvalidare che le directory intermedie non siano state sostituite. Questo schema classico time-of-check-to-time-of-use (TOCTOU) costituisce il cuore della falla.

Come funziona l'escape: la gara contro il riapertura del file

L'attaccante controlla lo spazio dei nomi filesystem all'interno della microVM. Dopo che il server virtio-fs ha autorizzato un percorso e memorizzato il riferimento, l'ospite sostituisce una directory genitore con un symlink che punta a una posizione arbitraria sul host. Al momento del riapertura, il server segue il link simbolico e opera su file al di fuori del workspace con i privilegi dell'utente VMM.

"A guest, meaning whatever runs inside the virtual machine, could replace a parent directory with a symlink and then read or change files as the VMM user...potentially leading to code execution on the host." — Docker via The Hacker News

Il meccanismo non richiede compromissione pregressa dell'host: basta che l'agente AI esegua codice malevolo all'interno della sandbox, scenario realistico in caso di prompt injection o distribuzione di dipendenze compromesse. "The escape runs with the rights of the host account that runs the virtual machine", precisa Docker. La fonte non specifica quali file risultino accessibili: dipende dai permessi dell'utente VMM sul sistema host.

La seconda falla: socket Unix fuori controllo

CVE-2026-79994 colpisce il relay che gestisce le connessioni socket Unix-domain tra ospite e host. Il relay verifica che il percorso del socket risieda nel workspace, poi si riconnette utilizzando il nome del percorso senza protezione contro manipolazioni intermedie. Un ospite che sostituisca una directory con un symlink tra la verifica e la connessione induce l'host a collegarsi a qualsiasi socket AF_UNIX esterno.

Secondo la descrizione fornita da Docker, riportata da The Hacker News, questo espone "data or host-side capabilities provided by that socket". Il dossier non specifica se la falla interessi esclusivamente macOS o anche piattaforme Windows e Linux; le fonti sono in conflitto o omettono il dato. Docker non ha dichiarato la piattaforma nella tabella di advisory per CVE-2026-79994, a differenza della chiara marcatura "macOS" per CVE-2026-77179.

Cosa fare adesso

• Aggiornare Docker Sandboxes alla versione 0.42.0 o successiva: la 0.43.0 è la release più recente al 17 settembre 2026
• Se l'aggiornamento immediato non è fattibile, attivare la "clone mode", che monta il repository in sola lettura in /run/sandbox/source
• Evitare mount read-write della directory host quando si eseguono agenti da fonti non verificate
• Tenere presente che la clone mode preserva la leggibilità dei file non tracciati come .env: non impedisce la lettura di tali file

Analisi: rischio misurato, architettura esposta

I dati disponibili indicano un profilo di rischio contenuto nel breve termine: CISA non segnala sfruttamento attivo, e l'EPSS dello 0,16% posiziona CVE-2026-77179 nella fascia bassa di probabilità immediata. Questo non attenua la gravità architetturale della falla. L'ipervisore è progettato come unico strato di difesa; quando il virtio-fs bypassa i propri controlli di autorizzazione, il perimetro di isolamento si riduce a un singolo punto.

L'intervallo di otto giorni tra il rilascio di 0.42.0 e la pubblicazione dell'advisory non è commentato dalle fonti come finestra di rischio o come problema di disclosure. Gli utenti che avevano aggiornato entro quel periodo erano tecnicamente protetti, ma ignari della natura della minaccia.

Fonti e limiti

Questo articolo si basa principalmente su The Hacker News, unica fonte con reporting originale e dettagli tecnici diretti dall'advisory Docker. Le fonti 3-8 (CybersecurityNews, Strix.ai, SecurityOnline, CyberPress, GBHackers) riportano gli stessi dati in forma derivata o duplicata, senza analisi indipendente aggiuntiva. Le fonti 2, 9 e 10 non sono state utilizzate: la prima riguarda un prodotto diverso (ChatGPT), le altre due sono pagine generiche di The Hacker News prive di contenuto specifico su questa vulnerabilità.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://thehackernews.com/2026/09/critical-docker-sandboxes-flaw-lets.html
• https://research.checkpoint.com/2026/the-shared-clipboard-inside-the-sandbox-cross-account-data-leakage-in-chatgpt/
• https://cybersecuritynews.com/critical-docker-sandboxes-vulnerabilities/
• https://www.strix.ai/cve/CVE-2026-77179
• https://securityonline.info/docker-sandboxes-vulnerabilities-patched/
• https://cyberpress.org/critical-docker-sandboxes-flaw/
• https://gbhackers.com/docker-sandboxes-vulnerabilities/
• https://thehackernews.com/
• https://thehackernews.com/p/upcoming-hacker-news-webinars.html