Docker Desktop 4.97.0：修复日志明文写入第三方令牌

Docker 安全公告写明：Docker Desktop 4.97.0 于 2026 年 10 月 26 日修复 CVE-2026-114409。问题出在 Desktop 可能把第三方 API 密钥和 OAuth 访问令牌，以明文写进本地应用日志与诊断包，根因是 IPC 载荷脱敏不足。能读这些文件的人就可能拿走凭证。公告特别说明：这些 OAuth 令牌不是 Docker 账户令牌。[1]

4.94.0 与 4.95.0 已处理过已知日志路径，但升级后旧日志里仍可能留着历史明文。4.97.0 在修复写入路径的同时，会清理主机上已有日志与崩溃转储。若曾用 4.96.x 或更早版本生成、分享过诊断包，或把 Desktop 日志拷到别处，应手动删除或脱敏。[1]

同版本还修了 CVE-2026-99999：容器可借 TUN 或 AF_PACKET，利用不良 IPv4 校验和元数据破坏虚拟机网络栈。[1]

公告另提到 2026 年 10 月 20 日 eMudhra 中间证书私钥泄露后，Docker 已用更新 CA 重建 Sandbox 模板镜像。只升 sbx CLI 不会刷新已有 sandbox，需要 --pull always 重建，或在运行中的 sandbox 里升级 ca-certificates。[1]

建议尽快升到 Desktop 4.97.0，并清点本机旧诊断包与日志副本。

对开发机来说，这类问题的麻烦之处在于「升级软件不等于旧文件消失」。即使已经点到 4.97.0，仍要在本机搜一遍历史 .zip 诊断包、拷贝出去的 log 目录，以及发给支持团队的附件。令牌若曾写入日志，应按第三方服务商流程做轮换，而不是只删文件。容器网络相关的第二条 CVE 则提醒：Desktop 虚拟机网络栈同样属于需跟进的补丁面。

说明：CVE 影响面与修复版本以 Docker 安全公告原文为准。

来源

[1] Docker security announcements，Desktop 4.97.0 条目日期 2026年10月26日；查询日 2026-10-29。

#Docker #DockerDesktop #安全公告 #CVE #令牌