Skip to content
Hacker Posts

Docker Desktop : secrets en clair et pile réseau de la VM (AVI-1401)

Le CERT-FR relaie l'avis AVI-1401 : Docker Desktop écrivait clés d'API et jetons OAuth en clair dans ses journaux (CVE-2026-114409). Correctif en 4.97.0.

Publié le 2 min de lecture
cvedockeranssialerteconteneur

Le CERT-FR a publié le 28 octobre 2026 l'avis CERTFR-2026-AVI-1401, qui relaie le bulletin de sécurité Docker du 27 octobre. Deux failles touchent Docker Desktop dans les versions antérieures à 4.97.0. Le CERT-FR retient une atteinte à la confidentialité des données et un contournement de la politique de sécurité. Le correctif est Docker Desktop 4.97.0, publié le 26 octobre.

Ce que font les bugs

CVE-2026-114409 — exposition de données sensibles par redaction insuffisante des charges utiles IPC. Selon le bulletin Docker, Docker Desktop écrivait des clés d'API tierces et des jetons d'accès OAuth en clair dans les journaux applicatifs locaux et les bundles de diagnostic. Quiconque pouvait lire ces fichiers récupérait les identifiants. Docker précise qu'il ne s'agit pas des jetons de compte Docker. La version 4.97.0 nettoie aussi les journaux et dumps déjà présents sur l'hôte.

CVE-2026-99999 — vulnérabilité noyau. Selon Docker, un conteneur peut exploiter des métadonnées de somme de contrôle IPv4 malformées envoyées via TUN ou AF_PACKET pour corrompre la pile réseau de la VM sous-jacente. (Ces deux identifiants sont ceux publiés par Docker ; au moment de la rédaction, les fiches NVD ne sont pas encore renseignées — le bulletin éditeur fait foi.)

Versions concernées

  • Docker Desktop antérieur à 4.97.0.
  • Correctif : Docker Desktop 4.97.0 (26 octobre 2026).

Que faire

  1. Passez à Docker Desktop 4.97.0 sur tous les postes concernés.
  2. Purgez l'historique. Si vous avez partagé des bundles de diagnostic ou conservé des journaux Docker Desktop d'une version 4.96.x ou antérieure, supprimez-les ou nettoyez-les : les secrets y sont peut-être en clair.
  3. Faites tourner les secrets exposés. Toute clé d'API tierce ou jeton OAuth susceptible d'avoir été écrit dans ces journaux doit être révoqué et régénéré — la mise à jour ne les invalide pas à votre place.
  4. Vérifiez la version réellement installée après coup (docker version / interface Docker Desktop).

Pour mettre en perspective

Deux classes de risque dans le même correctif : une fuite de secrets qui suppose un accès local ou le partage d'un bundle de diagnostic — cas fréquent quand on ouvre un ticket support — et une faille de rupture d'isolation côté réseau de la VM. La première est la plus immédiate pour les équipes qui transmettent des diagnostics à un éditeur tiers sans les relire. Aucune exploitation active n'est mentionnée par Docker ni par le CERT-FR.

Articles liés