本文使用的 Docker 镜像
发布日期： 2026 年 11 月 5 日
风险等级： 高危（High）
漏洞编号： CVE-2026-103916 · CVE-2026-121614
涉及镜像： docker/sandbox-kit — 轩辕镜像 · Docker Hub（相关组件；主修复为 Sandboxes 发行包）
CVSS： CVE-2026-103916 为 8.4（High）；CVE-2026-121614 为 7.1（High）
披露时间： Sandboxes 0.51.0（2026-11-03）等发行说明
相关公告： Sandboxes release notes · v0.51.0 · v0.50.0
一、漏洞概述
| 编号 | 要点 | CVSS | 修复 |
|---|---|---|---|
| CVE-2026-103916 | 恶意沙箱替换工作区 symlink，用户发起的 sbx cp 可读出工作区外宿主文件或写入宿主路径 | 8.4 | ≥ 0.51.0 |
| CVE-2026-121614 | direct-mode 可写挂载下改 Git core.fsmonitor 等配置，使后续 clone-mode fetch / sbx kit push 在 microVM 外以用户权限执行程序 | 7.1 | ≥ 0.50.0 |
属于沙箱 → 宿主文件读写 / 宿主侧任意程序执行（调用方用户权限）。
二、漏洞状态
统计截止： 2026 年 11 月 5 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（GHSA、NVD、发行说明） |
| 官方补丁 | Sandboxes ≥ 0.51.0（一条线覆盖两者） |
| 相关镜像 | Hub 存在 docker/sandbox-kit，公开标签多为提交哈希，没有与 0.51.0 一一对应的版本标签 |
| CISA KEV | 未列入 |
三、影响范围
使用 Docker Sandboxes 跑不可信 Agent / 代码，并且共享可写工作区或启用 direct-mode 可写挂载的环境。
四、修复建议
按官方发行包升级 Docker Sandboxes ≥ 0.51.0。不要指望单独换一个无哈希标签的 sandbox-kit 镜像来当补丁。
同时限制 direct-mode 可写挂载，以及不可信仓库进入共享工作区。
发行包： v0.51.0
相关镜像页： docker/sandbox-kit · 轩辕镜像
五、临时缓解措施
在升到 0.51.0 之前：不要对不可信沙箱使用可写共享工作区；关掉 direct-mode 可写挂载；审查工作区是否已被换成指向宿主路径的符号链接。这不能代替 0.51.0。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 Sandboxes 发行包修复。加速拉取 sandbox-kit 的哈希标签，不会自动等于 0.51.0。请以官方 sbx 发行包为准。
七、参考链接
- Docker：Sandboxes release notes
- GitHub：v0.51.0 · v0.50.0
- NVD：CVE-2026-103916 · CVE-2026-121614
- Docker Hub：docker/sandbox-kit
- 轩辕站内镜像页：docker/sandbox-kit
阅读原文
轩辕镜像安全团队
2026 年 11 月 5 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
文中提及的第三方镜像由其原维护者自行维护与更新，轩辕镜像不负责相关镜像的维护。如镜像涉及版权争议或违法违规情形，请直接联系该镜像维护者处理，相关事宜与轩辕镜像无关。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。