本文使用的 Docker 镜像
发布日期： 2026 年 9 月 17 日
更新： 2026 年 10 月 7 日，CVE-2026-92770 已有官方修复版本 2.13.6、2.14.5、2.15.3，以及 2.16.0 及以上
风险等级： 严重 / 高危（最高约 CVSS 4.0 9.4 Critical）
漏洞编号： CVE-2026-92770 · CVE-2026-77179 · CVE-2026-79994 · CVE-2026-55887
涉及镜像： goharbor/harbor-core — 轩辕镜像 · Docker Hub · docker/mcp-gateway — 轩辕镜像 · Docker Hub
相关公告： GHSA-vwvv-675v-p6rr · Docker Sandboxes v0.42.0 · GHSA-r2xf-7jw5-pjg6
一、漏洞概述
本周容器与镜像供应链周边再披露一组需关注的问题：一条落在常见私有仓库 Harbor 的扫描仪凭据侧信道泄露；两条落在 Docker Sandboxes（macOS）的隔离边界；一条落在 Docker MCP Gateway 的 OCI 元数据注入。本文合并通报，便于平台、安全与桌面开发环境同学一次性排查。
1. CVE-2026-92770：Harbor 扫描仪 AccessCredential 经 q 参数逐字符泄露（High，约 7.1）
Harbor（至 2.15.2）未对扫描仪注册模型的 AccessCredential（库字段 access_cred）加 filter:"false"。持有 项目管理员 权限的用户，可对形如：
httpGET /api/v2.0/projects/{project}/scanner/candidates?q=access_cred=~<prefix>
的接口做模糊过滤，并以 响应行数 / X-Total-Count 作为布尔预言机，逐字符恢复 全局扫描仪适配器密钥（Basic / Bearer / API Key）。
响应体本身会省略凭据，但 计数侧信道 仍可还原完整密钥。该问题属于 CVE-2025-30086 一类 ORM 过滤泄露的 未完成修复。
重要说明： 门槛为已认证的项目管理员，非完全未授权；但租户级项目管理员可拿到 系统级扫描仪凭据，权限越界影响大。典型暴露面：已启用外部扫描仪适配器、且存在可登录项目管理员的自建 Harbor。
2. CVE-2026-77179：Docker Sandboxes（macOS）virtio-fs 符号链接逃逸（Critical，约 9.4）
在 macOS 上，Docker Sandboxes 的 virtio-fs 主机端 在按已存路径重新打开 已 unlink 文件时，错误跟随符号链接。恶意访客可将父目录换成符号链接，逃出共享工作区，以 VMM 用户身份 读写主机任意文件，并可导致 主机代码执行。
3. CVE-2026-79994：Docker Sandboxes Unix 域套接字中继 TOCTOU（High，约 8.7）
访客到主机的 UDS 中继 先校验套接字路径落在授权工作区内，随后再按路径名重连。恶意访客可在校验与连接之间把中间目录换成符号链接（TOCTOU），使主机连到工作区外的任意 AF_UNIX 套接字。与上条同属 Sandboxes 隔离问题，同一修复版本覆盖。
4. CVE-2026-55887：Docker MCP Gateway OCI 标签注入 docker run 参数（High，约 8.7）
Docker MCP Gateway（0.21.0 起至 0.42.2 前）把攻击者可控的 OCI 镜像标签 io.docker.server.metadata 中的 YAML 反序列化进宽泛结构；Volumes、User、ExtraHosts 等随后被拼进 docker run 且 无来源白名单。恶意镜像作者可在受害者 选择 / 拉取 该镜像时，请求挂载主机文件系统或 Docker 套接字并以 UID 0 运行，可导致主机任意代码执行。
重要说明： 需用户交互（选择 / 拉取恶意 MCP 相关镜像）；暴露面为安装并使用 Docker MCP Gateway、会从不可信来源导入 MCP 服务器镜像 / catalog 的环境。
二、漏洞状态
统计截止： 2026 年 9 月 17 日（UTC+8）
| 项目 | CVE-2026-92770（Harbor） | CVE-2026-77179 / 79994（Sandboxes） | CVE-2026-55887（MCP Gateway） |
|---|---|---|---|
| 风险 | High（约 7.1） | Critical（约 9.4） / High（约 8.7） | High（约 8.7） |
| 类型 | ORM 过滤侧信道 / 凭据泄露 | 沙箱逃逸 / TOCTOU | OCI 元数据注入 → 主机 RCE |
| 官方补丁 | 2.13.6 / 2.14.5 / 2.15.3，以及 2.16.0 及以上（GHSA-vwvv-675v-p6rr） | 已发布（v0.42.0+） | 已发布（v0.42.2+） |
| 认证 / 交互 | 需项目管理员 | 需沙箱内恶意负载 | 需用户选择 / 拉取恶意镜像 |
三、影响范围
1. 版本与产品形态
| 产品 | 受影响范围 | 修复线（本档可知） |
|---|---|---|
| Harbor | < 2.13.6；2.14.0–2.14.4；2.15.0–2.15.2（扫描仪 access_cred 可被 q 过滤） | 2.13.6、2.14.5、2.15.3，以及 2.16.0 及以上 |
| Docker Sandboxes（macOS） | 受影响的 virtio-fs / UDS 中继实现（至修复前版本） | ≥ v0.42.0 |
| Docker MCP Gateway | ≥ 0.21.0 且 < 0.42.2 | ≥ v0.42.2 |
2. 典型受影响场景
| CVE | 典型场景 |
|---|---|
| 92770 | 自建 Harbor 启用 外部扫描仪适配器；多租户或多人持有 项目管理员；扫描仪使用全局 Basic / Bearer / API Key |
| 77179 / 79994 | macOS 主机启用 Docker Sandboxes；可在沙箱内运行不受信负载（恶意项目、不可信容器工作区） |
| 55887 | 安装 Docker MCP Gateway；从社区 catalog / 第三方仓库导入 MCP 服务器镜像，未做镜像与标签审计 |
风险边界提示：
- Harbor 条 非未认证远程扫库即可打穿；但「项目管员 → 系统扫描仪密钥」的跨权影响仍应按高危处置。
- Sandboxes 两条针对 macOS + Sandboxes；非该产品线 / 非 macOS 桌面场景不在本 CVE 直接范围内，仍建议关注官方 Sandboxes 发版说明。
- MCP Gateway 条属 供应链 + 用户交互；仅使用受信 catalog、且不拉取陌生 MCP 镜像时，实际触发面显著缩小，仍应升级。
四、修复建议
1. Harbor（CVE-2026-92770）
按所在发行线升级到 2.13.6、2.14.5 或 2.15.3。公告同时把 2.16.0 及以上列为修复版本。Docker Hub 的 goharbor/harbor-core 已有 v2.13.6、v2.14.5、v2.15.3。
升级后，如果不可信用户能够创建项目，轮换扫描仪适配器凭据：在适配器上设置新凭据，并写入 Harbor 的扫描仪注册。同时审计对 /api/v2.0/projects/*/scanner/candidates 且 q 中含 access_cred 的请求。
Harbor 由 core、jobservice、portal 等多个镜像组成，整套组件使用同一发行版本。
Docker Hub： goharbor/harbor-core
轩辕镜像： goharbor/harbor-core
以 2.15 线为例：
bashdocker pull docker.xuanyuan.run/goharbor/harbor-core:v2.15.3
其余 goharbor/harbor-* 组件使用同一个版本标签。安全公告：GHSA-vwvv-675v-p6rr。
2. Docker Sandboxes（CVE-2026-77179 / CVE-2026-79994）
升级至 Docker Sandboxes v0.42.0 或更高：
属客户端 / 守护进程侧产品，无 轩辕「基础应用镜像」可换 tag 一键修复；请在 macOS 主机按官方渠道升级 Sandboxes 组件。
3. Docker MCP Gateway（CVE-2026-55887）
升级至 Docker MCP Gateway v0.42.2 或更高：
- 安全公告：GHSA-r2xf-7jw5-pjg6
Docker Hub 官方镜像： docker/mcp-gateway
轩辕镜像对应路径： xuanyuan.cloud/r/docker/mcp-gateway（请在站内打开核对当前可用 tag）
拉取示例（请将标签替换为你确认 ≥ 0.42.2 的安全版本）：
bashdocker pull docker.xuanyuan.run/docker/mcp-gateway:v0.42.2
具体 tag 以 Hub / 轩辕站内列表及官方 Release 为准；勿仅凭浮动标签（如
latest）假定已修复。生产环境固定为已审计的安全版本。
4. 版本自查（示例）
bash# Harbor：以实际安装方式为准（示例） harbor version # 或查看部署清单 / Helm chart appVersion / 控制台「关于」页 # Docker Sandboxes（以本机实际 CLI / 组件名为准） # 对照官方文档确认当前版本 ≥ 0.42.0 # MCP Gateway（以本机实际入口为准） docker mcp --version # 或查看 mcp-gateway 安装包 / 镜像内版本信息，确认 ≥ 0.42.2
五、临时缓解措施
在无法立即完成升级前，可按产品分别缓解：
Harbor（92770）
- 升级到 2.13.6、2.14.5、2.15.3，或 2.16.0 及以上。
- 不可信用户能创建项目时，轮换扫描仪适配器凭据。
- 在补丁安装完成前，可将项目创建限制为仅管理员，并限制扫描仪适配器只接受 Harbor 的访问。
Docker Sandboxes（77179 / 79994）
- 勿在沙箱内运行不受信负载；对共享工作区外的主机敏感路径保持最小暴露。
- 优先升级至 v0.42.0+；临时措施无法替代官方隔离修复。
Docker MCP Gateway（55887）
- 仅从受信 catalog / 镜像源导入 MCP 服务器；拒绝来路不明的
io.docker.server.metadata镜像。 - 审计近期通过 Gateway 拉起的容器挂载与
--user/ ExtraHosts 等异常参数。 - 尽快升至 v0.42.2+。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是 镜像加速与拉取服务，不替代 你对 Harbor 发行版、Docker Sandboxes 或 MCP Gateway 的版本升级与权限加固。
- 使用轩辕拉取相关镜像 不会自动变成安全版本；请将 Harbor / MCP Gateway 固定到 已含修复（或官方确认安全）的版本。
- Harbor 核心组件可通过轩辕加速拉取：goharbor/harbor-core，命令形如
docker.xuanyuan.run/goharbor/harbor-core:v2.15.3（或你所在发行线的 v2.13.6 / v2.14.5）。 - MCP Gateway 可通过轩辕加速拉取：docker/mcp-gateway，命令形如
docker.xuanyuan.run/docker/mcp-gateway:v0.42.2（或更高安全版本）。 - Sandboxes 类漏洞必须在 macOS 主机侧 升级产品组件，与镜像加速无关。
- 配置与排错可参考：轩辕镜像使用手册、镜像拉取 FAQ。
七、参考链接
- NVD：CVE-2026-92770 · CVE-2026-77179 · CVE-2026-79994 · CVE-2026-55887
- Harbor 官方修复公告：GHSA-vwvv-675v-p6rr
- VulnCheck：Harbor through 2.15.2 scanner credential disclosure
- Docker Sandboxes 修复版：v0.42.0
- Docker MCP Gateway 安全公告：GHSA-r2xf-7jw5-pjg6
- Harbor 上游：https://github.com/goharbor/harbor
- Docker Hub：goharbor/harbor-core · docker/mcp-gateway
- 轩辕站内镜像页：goharbor/harbor-core · docker/mcp-gateway
轩辕镜像安全团队
2026 年 9 月 17 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。