Alerta Crítico: Vulnerabilidade CopyEscape no Docker Permite Execução de Código no Host

A falha CopyEscape (CVE-2026-17106) expõe uma vulnerabilidade crítica na interação entre contêineres Docker e o sistema hospedeiro. O ponto fraco reside no comando docker cp, amplamente utilizado para copiar arquivos. O problema começa quando o daemon Docker empacota os arquivos de um contêiner malicioso em um arquivo tar. Um atacante pode manipular o sistema de arquivos do contêiner em execução durante esse processo. Ele substitui um diretório por um symlink (link simbólico) entre as verificações do Docker, forçando o arquivo tar a incluir informações contraditórias.

A segunda parte da exploração ocorre durante a extração no sistema hospedeiro. Apesar das tentativas de validação, o Docker CLI acaba criando o symlink com o valor original controlado pelo atacante. Isso permite que um symlink absoluto aponte para fora do diretório de destino pretendido. Quando o Docker tenta extrair um arquivo através desse symlink, o sistema operacional resolve o link, e o arquivo do atacante é gravado em um caminho arbitrário no hospedeiro. Isso pode levar à sobrescrita de arquivos cruciais como /usr/bin/runc, resultando em execução de código como root. Essa técnica de condicionamento de corrida é um lembrete do quão sensíveis são as operações de cópia de dados entre ambientes isolados e o sistema principal, especialmente em cenários de CI/CD ou resposta a incidentes.

A CopyEscape não é apenas uma falha técnica, mas um risco operacional significativo para qualquer empresa que utilize Docker. A capacidade de um contêiner malicioso sobrescrever arquivos no hospedeiro, potencialmente levando à execução de código root, transforma a simples cópia de arquivos em um vetor de ataque perigoso. Isso afeta diretamente a segurança de ambientes de desenvolvimento, pipelines de CI/CD e até mesmo fluxos de trabalho de resposta a incidentes, onde a recuperação de logs ou artefatos de contêineres comprometidos é comum.

Esta vulnerabilidade ressalta a importância da gestão rigorosa de permissões e da segregação de privilégios. Ela se soma a uma série de outras falhas recentes, como a GhostLock no Kernel Linux e a Copy Fail, ambas noticiadas pelo CEVIU News em julho e abril de 2026, respectivamente. Juntas, elas pintam um quadro onde a interação entre os sistemas operacionais e as camadas de virtualização/conteinerização continua sendo um campo fértil para atacantes. A atualização imediata é a primeira linha de defesa.