AIDEFEND in Action AIA-0105 實證研究發布於 AIA: 2026年10月26日

Docker MCP Gateway：映像檔中繼資料變成掛載主機的權限

Docker MCP Gateway 會從容器映像檔啟動工具伺服器。這個漏洞的公開識別編號是 CVE-2026-55887；它讓攻擊者控制的 OCI 映像檔中繼資料填入高權限執行欄位，再變成 docker run 參數。公開路徑可掛載主機檔案系統與 Docker socket，並以 root 執行。0.42.2 版已修補；提示詞過濾或 no-new-privileges，都無法修正建立容器時就授予的這些權限。

Tool Argument TamperingSupply Chain DefenseRuntime IsolationMCP SecurityAI Infrastructure

3 項對應的 AIDEFEND 防禦手法

來源: Argument injection via OCI image label YAML in Docker MCP Gateway

作者: @mickael-docker / Docker

原文發布: 2026年6月16日

威脅分析

中繼資料變成操作權限：攻擊者控制映像檔標籤中的 YAML，內容填入執行設定後，再變成 Docker 參數。映像檔提供的描述資料，就此越界成為掛載主機的權限。
容器建立時就已取得權限：root 身分與主機掛載在啟動當下授予。限制日後新增權限的旗標，不會移除一開始就交給容器的存取能力；過程不需要模型決策。
必須連引擎一起圍堵：如果 Gateway 可以要求主機 Docker 引擎建立更廣泛掛載，只隔離工具容器並不足夠。引擎與 Gateway 必須一起放進受限制的外層環境。

適用的 3 項 AIDEFEND 防禦手法

AID-H-003.010

Deployed AI Software Vulnerability Remediation Lifecycle

極高

將受影響 Gateway 二進位檔替換為 0.42.2 或受支援的更新修補版，確認真正組合容器參數的執行檔。以合成映像檔在中繼資料要求未授權的 volumes、user 與 command 欄位，確認請求在送到 Docker 前就遭拒絕，或改用政策管理的執行值。測試涵蓋 catalog／snapshot 與 docker:// 路徑；修補後解析器不能再讓映像檔替自己設定高權限。

AID-I-001.002

MicroVM & Low-Level Sandboxing

高

在受管理的高風險部署中，讓 Gateway 與它專用的 Docker 引擎都執行在經驗證的硬體虛擬化環境，且不向該環境提供外層主機掛載、Docker socket 或高權限管理通道。指引要求管理者控制的執行設定、實際執行環境證明，以及不能退回較弱模式的測試；容器標籤或一般 Docker-in-Docker 並不足夠。即使內層 Docker 引擎遭入侵，也能限制對外層主機的影響。這是圍堵部署，不是修補映像檔中繼資料解析。

AID-H-034.001

MCP Server Deployment Profile, Transport & Exposure Baseline

高

執行環境管理者可在 Docker 真正建立容器時，獨立強制執行 MCP 伺服器基準：拒絕 root、主機根目錄或 socket 掛載、特權模式、主機名稱空間，以及核准設定以外的命令。Docker 引擎授權外掛或同等受保護的啟動代理，必須以相同解碼規則檢查最後的 Engine JSON，並拒絕無法檢查及替代路徑，包括不受支援的 gRPC／連線升級操作。再讀回實際掛載、使用者與 capabilities。單獨放一份 Kubernetes securityContext、設定映像檔 USER、唯讀根檔案系統或 no-new-privileges，都不能撤回被注入的 Docker 授權。

身為資安防禦者，我們應該這麼做

更新真正執行中的 Gateway，以合成的禁止欄位測試每個映像檔處理路徑，並觀察實際送往 Docker 的請求。
執行權限維持由管理者政策決定，映像檔使用前先審查。雜湊與簽章能識別檔案內容，不代表攻擊者要求的掛載可被接受。
需要較強圍堵時，將 Gateway 與專用引擎一起隔離，確認沒有外層主機 socket、掛載或管理通道可以繞過。
在真正的 Docker 引擎前，加入獨立的容器建立政策，涵蓋掛載、使用者、名稱空間、capabilities 與命令。確認未支援的引擎路徑也被封鎖，才能把授權外掛視為有效控制。

結論

AIDEFEND 將本案對應到 Gateway 修補驗證與更強的執行環境圍堵。信任規則很具體：工具映像檔可以提供描述資料，使用者身分、命令與主機掛載權限，仍應由防禦方決定。

最後更新: 2026年10月26日