Alerte critique : Docker Desktop expose votre Windows aux attaques - Ce que vous devez savoir
Une vulnérabilité majeure vient d'être découverte dans Docker Desktop pour Windows, et elle mérite toute votre attention si vous utilisez cet outil dans votre environnement de développement quotidien. Identifiée sous la référence CVE-2025-9074 avec un score CVSS impressionnant de 9.3, cette faille de sécurité pourrait permettre à un attaquant de prendre le contrôle complet de votre machine.
Comme développeur utilisant régulièrement des conteneurs, cette découverte m'a particulièrement interpellé. Voyons ensemble ce qui se passe et pourquoi vous devriez mettre à jour immédiatement.
Comment fonctionne cette vulnérabilité ?
Le chercheur en sécurité Félix Boulet a mis en lumière un problème inquiétant : l'API interne du Docker Engine est exposée sans aucune authentification à l'adresse http://192.168.65.7:2375/. Cette faille permet à n'importe quel conteneur en cours d'exécution sur votre machine d'interagir directement avec le moteur Docker.
Ce qui est vraiment alarmant, c'est la simplicité de l'exploitation. Deux simples requêtes HTTP POST suffisent pour qu'un conteneur malveillant crée un autre conteneur privilégié avec accès au disque C: et le démarre, compromettant ainsi l'intégralité de votre système.
Windows particulièrement vulnérable
Sous Windows, cette vulnérabilité est particulièrement dangereuse en raison de l'architecture même de Docker Desktop. Le moteur Docker fonctionne via WSL2, ce qui signifie qu'un attaquant pourrait :
- Monter l'intégralité du système de fichiers avec des privilèges administrateur
- Accéder à des fichiers sensibles comme les mots de passe stockés
- Remplacer des DLL système pour obtenir des privilèges d'administrateur complets
Philippe Dugre, un autre chercheur en sécurité, a confirmé avoir pu créer des fichiers dans le répertoire personnel de l'utilisateur Windows, démontrant ainsi la gravité de cette vulnérabilité.
macOS mieux protégé face à cette menace
Il est intéressant de noter que macOS s'en sort beaucoup mieux face à cette même vulnérabilité. Les mécanismes de sécurité intégrés d'Apple offrent une couche de protection supplémentaire :
- Docker Desktop sur macOS maintient une meilleure isolation
- L'application demande explicitement la permission à l'utilisateur lorsqu'un conteneur tente de monter un répertoire utilisateur
- Par défaut, l'application n'a pas accès au reste du système de fichiers
- Docker Desktop ne s'exécute pas avec des privilèges administratifs sur macOS
Cette différence de comportement souligne un fait intéressant : "Docker protège mieux votre Mac que Microsoft votre PC" face à cette vulnérabilité spécifique.
Enhanced Container Isolation inefficace
Ce qui est particulièrement préoccupant, c'est que même la fonction Enhanced Container Isolation (ECI) de Docker, censée renforcer la sécurité, ne parvient pas à bloquer cette vulnérabilité. Les conteneurs peuvent toujours accéder à l'API et lancer d'autres conteneurs sans restriction.
La solution : mettre à jour immédiatement
Docker a réagi rapidement en publiant la version 4.44.3 de Docker Desktop qui corrige cette vulnérabilité. Si vous utilisez Docker Desktop sur Windows ou macOS, je vous recommande vivement de mettre à jour vers cette version ou une version ultérieure sans délai.
Bien qu'aucune exploitation dans la nature n'ait été signalée pour l'instant, la simplicité d'exploitation de cette vulnérabilité et ses conséquences potentiellement dévastatrices en font une menace à ne pas ignorer.
Ce que nous pouvons apprendre
Cette découverte nous rappelle plusieurs principes fondamentaux de sécurité :
- L'importance de maintenir nos outils de développement à jour
- La vigilance nécessaire lors de l'exécution de conteneurs provenant de sources non fiables
- Les différences significatives dans les modèles de sécurité entre Windows et macOS
En tant que développeurs, nous avons la responsabilité de comprendre les implications de sécurité des outils que nous utilisons quotidiennement. Cette vulnérabilité, découverte lors d'un "simple scan réseau amateur" selon les mots de l'article original, nous rappelle que parfois les failles les plus critiques peuvent se cacher à la vue de tous.
Prenez donc quelques minutes pour vérifier votre version de Docker Desktop et effectuer la mise à jour si nécessaire. La sécurité de votre environnement de développement en dépend.
