Sebuah kerentanan keamanan dengan kode CVE-2026-28400 ditemukan pada Docker Model Runner (DMR). Kerentanan ini dikategorikan memiliki tingkat keparahan High (7.6) dan berpotensi menyebabkan kerusakan serius pada lingkungan Docker Desktop apabila tidak segera ditangani.
Docker Model Runner (DMR) merupakan perangkat lunak yang digunakan untuk mengelola, menjalankan, dan menerapkan model AI menggunakan Docker. Tool ini mempermudah proses deployment model AI dalam container sehingga dapat dijalankan secara konsisten di berbagai lingkungan.
Namun, pada versi sebelum 1.0.16, ditemukan celah keamanan kritis yang dapat dimanfaatkan oleh pihak tidak bertanggung jawab.
Detail Kerentanan
Kerentanan ini terjadi karena adanya endpoint API:
POST /engines/_configure
Endpoint tersebut menerima runtime flags tanpa autentikasi yang memadai. Hal ini memungkinkan pengguna yang memiliki akses jaringan ke API untuk:
- Menulis file secara berbahaya
- Menimpa file yang dapat diakses oleh proses DMR
- Mengganggu sistem file pada Docker VM
Dampak Potensial
Eksploitasi kerentanan ini dapat menyebabkan:
- Penimpaan file pada disk VM Docker Desktop
- Penghapusan seluruh container
- Hilangnya image Docker
- Terhapusnya volume
- Hilangnya riwayat build
Dengan kata lain, dampaknya bisa menyebabkan kerusakan total pada environment Docker Desktop.
Klasifikasi CWE
Kerentanan ini termasuk dalam kategori:
CWE-749: Exposed Dangerous Method or Function
Artinya, produk menyediakan API untuk berinteraksi dengan pihak eksternal, tetapi API tersebut mengandung metode atau fungsi berbahaya yang tidak dibatasi dengan benar.
Produk yang Terdampak
- Docker Model Runner sebelum versi 1.0.16
Langkah Mitigasi
Untuk mencegah eksploitasi kerentanan ini, disarankan:
1. Lakukan Pembaruan Versi
- Perbarui Docker Model Runner ke versi 1.0.16 atau yang lebih baru.
- Pengguna Docker Desktop disarankan memperbarui ke versi 4.61.0 atau lebih baru.
2. Aktifkan Enhanced Container Isolation (ECI)
Apabila terdapat kendala dalam melakukan pembaruan, pengguna dapat:
- Mengaktifkan Enhanced Container Isolation (ECI)
- Fitur ini akan memblokir akses container ke Model Runner
- Mencegah eksploitasi terhadap endpoint rentan
CVE-2026-28400 merupakan kerentanan serius yang dapat berdampak besar terhadap integritas lingkungan Docker Desktop, terutama bagi pengguna yang memanfaatkan Docker Model Runner untuk deployment model AI.
Segera lakukan pembaruan ke versi terbaru untuk memastikan sistem tetap aman dan terlindungi dari potensi eksploitasi.