Docker Engine 恶意 DNS 响应导致私有仓库降级怎么办

核对 CVE-2026-92543 的版本和解析条件，先限制仓库出口，再升级到 Docker Engine 29.8.2 或更高版本

直接答案：Docker Engine 低于 29.8.2 时，如果私有仓库域名的一组 DNS 答案同时包含回环地址和攻击者控制的非回环地址，Docker 可能把该仓库误判为不安全仓库，随后对另一个地址关闭证书校验或回退到 HTTP。处理顺序是：暂停向可疑仓库登录和推送；记录 Engine 版本、仓库域名与实际解析结果；把 Docker 守护进程的出口限制到可信仓库地址；尽快升级到 29.8.2 或更高版本；最后用唯一镜像摘要验证拉取结果。

该问题编号为 CVE-2026-92543，上游在 2026-10-01 发布高危公告。风险包括仓库凭据泄露，以及可信标签被替换为攻击者控制的 manifest 和镜像层。只删除 insecure-registries 配置、只给仓库安装 CA，或者只把标签改成 digest，都不是完整修复。调整 DNS、出口防火墙或重启 Docker 可能中断拉取、推送和新容器启动；先保存配置，并在维护窗口操作。

先确认主机是否落入受影响条件

风险判断至少需要同时核对 Engine 版本、仓库域名和 DNS 答案。下面都是只读命令。把 <REGISTRY_HOST> 替换为真实仓库域名，不要把密码、登录令牌或完整 docker info 输出发到公开工单。

docker version --format 'Server={{.Server.Version}} Client={{.Client.Version}}'
docker info --format '{{json .RegistryConfig.IndexConfigs}}'
getent ahosts <REGISTRY_HOST>

服务端版本低于 29.8.2 就在公告影响范围内；客户端版本不能代替服务端判断。解析结果若出现 127.0.0.0/8 或 ::1，同时又出现外部地址，应按高风险现场处置。即使当前解析正常，受影响版本也应升级，因为 DNS 答案可能随时间、递归服务器或网络位置改变。

检查结果	判断	动作
Engine 29.8.2 或更高	已包含上游修复	继续核对 DNS 与仓库证书，保留版本证据
低于 29.8.2，DNS 只有可信非回环地址	当前未看到触发组合，但版本仍受影响	安排升级，升级前限制出口
低于 29.8.2，DNS 同时有回环与非回环地址	符合公告触发条件	立即暂停凭据操作并隔离出口
使用可变标签部署	镜像替换影响更难发现	同时记录并核对可信 digest

无法立即升级时怎样临时止损

上游建议让仓库域名只解析到可信的非回环地址，或限制 Docker 守护进程只能连接可信仓库端点。可以临时使用受控 DNS 或主机 hosts 记录固定预期地址，但必须由掌握仓库地址变更的人维护。地址变化后旧记录会导致拉取失败，因此这只是短期措施。

出口限制应作用于运行 Docker 守护进程的主机，并精确到企业实际使用的仓库地址和端口。不要照抄示例 IP，也不要一刀切阻断所有 HTTPS；镜像仓库可能还依赖认证、对象存储或 CDN 域名。先从仓库官方文档和现有成功连接记录整理允许列表，再由网络管理员实施。

引用镜像 digest 能降低“同一标签被替换”的风险，例如部署时使用 registry.example.com/app@sha256:...。但 digest 不能阻止登录凭据在错误连接中泄露，所以不能把它当作升级替代方案。若怀疑已经触发异常解析，除修复 Engine 外，还要轮换仓库凭据，并审计异常登录、推送和 manifest 变更。

升级前怎样控制停机与数据风险

升级 Docker Engine 通常需要重启守护进程。正在运行的容器是否继续运行，取决于主机配置、发行版打包方式和是否正确启用 live-restore；不要仅凭“容器当前在跑”判断升级无停机。先确认负载是否有多节点或负载均衡承接，再逐台升级。

docker info --format 'LiveRestore={{.LiveRestoreEnabled}}'
docker ps --format '{{.Names}} {{.Image}} {{.Status}}'
docker inspect --format '{{.Name}} {{.Image}}' $(docker ps -q)

第二条记录正在运行的容器和镜像，第三条记录容器实际使用的镜像 ID。命令只读，但主机容器很多时输出较长。升级前备份 daemon.json、仓库 CA 配置和编排清单；不要删除 /var/lib/docker，该漏洞修复不要求清空 Docker 数据目录。

升级到修复版本

从当前 Linux 发行版或 Docker 官方软件源安装 29.8.2 或更高版本，具体包命令以主机实际发行版为准。不要混用 Ubuntu、Debian、RHEL 的安装命令，也不要为了追版本直接运行来源不明的一键脚本。提交升级前确认软件源确实提供目标版本，并记录回退包版本。

多节点环境应先升级一台非关键节点，确认拉取、启动和健康检查正常，再滚动处理其余节点。单节点业务应安排维护窗口，提前准备可回退的软件包与配置。若升级后守护进程无法启动，先读取 systemd 日志和配置校验错误，恢复原配置或回退软件包；不要删除镜像与卷来“重装试试”。

修复后怎样验收

先确认服务端版本，再重新检查仓库解析。随后拉取一个已知 digest，并比较本地 RepoDigest。把下面的仓库与摘要替换为组织已经批准的值。

docker version --format 'Server={{.Server.Version}}'
getent ahosts <REGISTRY_HOST>
docker pull <REGISTRY_HOST>/<IMAGE>@sha256:<TRUSTED_DIGEST>
docker image inspect --format '{{json .RepoDigests}}' \
  <REGISTRY_HOST>/<IMAGE>@sha256:<TRUSTED_DIGEST>

合格结果是 Engine 不低于 29.8.2、DNS 没有意外回环与外部地址组合、拉取使用 HTTPS 且本地摘要与批准值一致。还应在仓库审计日志中确认没有未知登录和推送。如果此前输入过凭据且现场可疑，应先轮换凭据，再恢复自动化推送。

常见误区与失败分支

• 删除 insecure-registries 后就结束：公告明确指出回环网段会被自动视为不安全，单删配置不足以缓解。
• 安装私有 CA 后就结束：若域名仍可同时解析到回环地址，证书配置不能消除该缺陷。
• 只固定镜像 digest：这能帮助发现镜像替换，但不能保护已发送的仓库凭据。
• DNS 检查正常便不升级：DNS 是动态状态，受影响版本仍需进入升级计划。
• 升级后直接恢复全部流水线：先做单节点、单仓库、已知 digest 的验收，再逐步恢复。

相关基础操作可继续阅读 Docker pull access denied 排查、Docker Compose 生产部署、Linux DNS 解析排查 和 Ubuntu 安全更新。这些页面分别补充仓库认证、部署验收、DNS 取证和系统更新，不替代本文的安全公告处置。

官方来源

• Moby 安全公告 GHSA-7cfq-22r6-qp73：影响版本、风险、修复与临时措施。
• Docker dockerd 文档：insecure registries：不安全仓库定义与风险。
• Docker 仓库证书文档：不同环境的 CA 与客户端证书目录。
• Docker live-restore 文档：守护进程不可用期间保留容器的条件与限制。

来源最后核验：2026-10-07。本稿未发现需要补充确认的黑鲨云业务事实；生产内容简报与精确 intent_key 必须在晚间发布前复核。