第三方凭据以明文进入日志
Docker CNA 列明受影响版本从 4.39.0 起、低于 4.97.0。IPC 脱敏不足，日志或诊断包的读取者可能取得第三方 API 密钥及 OAuth 令牌；这些不是 Docker 账号令牌。
Docker Desktop 4.97.0 修复凭据日志泄露及虚拟机网络漏洞
Docker Desktop 4.97.0 修复第三方凭据被写入日志的问题，以及容器可触发的内核网络漏洞。该版本还清理已有宿主日志及崩溃转储；先前复制或分享的诊断文件仍须另行清理。
- 披露时间
- 2026年10月26日
- 公开披露日期
- 严重程度
- 拉裤子了
- 本页收录 2 个 CVE
- 波及范围
- 4.97.0 之前的 Docker Desktop；可读取日志或诊断文件，或容器可访问受影响虚拟机网络路径
- docker
- 在野利用
- 未知
- Docker 发布说明未报告恶意利用。
发生了什么
主流开发工具的安全边界存在缺陷，因此评为 L3。现有材料未证实宿主被接管，也没有受害者总数。独立的 eMudhra 信任库处置仍需关注；本次发布批次涉及不同漏洞。
内核漏洞在此 Desktop 版本之前已公开；本条记录针对 10 月 26 日的 Desktop 修复批次，不代表发现了新的 Linux 漏洞。
马桶里有什么
虚拟机网络栈破坏
容器可通过 TUN 或 AF_PACKET 滥用错误的 IPv4 校验和元数据，破坏虚拟机网络栈；发布说明未证实可逃逸到宿主。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Docker Desktop | 4.97.0 | 包括已有宿主日志及崩溃转储清理 |
案发时间线
2026年10月15日
Linux 公布底层内核 CVE
2026年10月26日
Docker Desktop 4.97.0 发布
2026年10月27日
Docker 发布凭据漏洞的 CVE 记录
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Docker 安全公告一手来源两项修复及历史诊断文件清理要求。
- Docker Desktop 4.97.0 发布说明一手来源10 月 26 日发布；区分凭据日志泄露与虚拟机网络栈破坏。
- Docker CNA 凭据漏洞记录一手来源受影响 Desktop 范围从 4.39.0 起；10 月 27 日 CVE 公开晚于发行版发布。
- Linux CNA 网络校验和记录一手来源底层内核 CVE 已于 10 月 15 日公开；10 月 26 日是 Desktop 修复批次。