Gemini CLI 0.58.0 zatvorio je bjekstvo iz izolovanog okruženja preko Dockerovog soketa

Izolovano okruženje važi samo za ono što izolovan proces uradi sam. Gemini CLI posao ograničava profilom koji na sistemu macOS pravi Seatbelt, a taj profil je do izdanja 0.58.0 ostavljao dostupnim lokalni pokretač kontejnera. Kad privilegovan kontejner montira datotečni sistem domaćina, Seatbelt to ne pregleda, jer montiranje izvodi demon koji nikada nije ni bio u izolovanom okruženju.

Kako je bjekstvo izgledalo

Na računaru sa sistemom macOS na kojem rade Docker Desktop, OrbStack, Colima ili Rancher Desktop, profil Seatbelta je dopuštao široko pokretanje procesa, čitanje datoteka i izlazni mrežni saobraćaj. Ta kombinacija je bila dovoljna. Proces iz izolovanog okruženja mogao je da dosegne soket demona za kontejnere, pokrene privilegovan kontejner i preko njega montira datotečni sistem domaćina kroz VirtioFS. Datoteke su tako stizale izvan granice koju Seatbelt postavlja, pa se ta granica na njih nije ni odnosila.

Za ovo nije potrebna greška u samom Seatbeltu. Seatbelt je ograničio proces, ali nije ograničio ono što taj proces može da zatraži od drugog demona u svoje ime. To je opšti oblik problema i treba ga imati na umu pri pregledu svakog izolovanog okruženja: granica pokriva neposredne radnje, a ne one koje se povjeravaju drugome.

Šta profil od sada odbija

Izmjena je spojena 21. avgusta 2026. Primjenjuje se na graditelj profila u osnovnom paketu i na svih šest ugrađenih profila za macOS, a odbija četiri vrste pristupa u cjelini.

• Čitanje i upis u sokete demona za kontejnere, među njima /var/run/docker.sock, /private/var/run/docker.sock, /Users/Shared/.docker i korisničke putanje ispod ~/.docker/, ~/.colima/, ~/.orbstack/ i ~/.rd/.
• Pokretanje binarnih datoteka docker, dockerd, docker-compose, podman, colima i orb na uobičajenim mjestima instalacije, među kojima su /usr/local/bin, /opt/homebrew/bin i paketi aplikacija.
• Traženje Mach servisa čije ime počinje sa com.docker. i servisa koji pripada OrbStacku.
• Dijeljena memorija po standardu POSIX čije ime sadrži prefiks vezan za Docker.

11 dana između ispravke i stabilnog izdanja

Izmjena je spojena 21. avgusta 2026. Prvo stabilno izdanje s tom izmjenom je 0.58.0, objavljeno 1. septembra 2026. Po računici redakcije to je 11 dana, a svi koji su ostali na liniji 0.57 radili su sa starim profilima. U bilješkama uz izdanje ta stavka nije označena kao bezbjednosna ispravka; navedena je između ispravke za simboličke veze i ispravke u podešavanju politike upisa, istim slovima kao i sve ostalo.

Ostatak izdanja 0.58.0 je sitan. Obrada putanja koje se preskaču sada dosljedno razrješava simboličke veze, podešavanje politike upisa prijavljuje provjere bezbjednosti na najvišem nivou, a server za agente briše zastarjelu grešku o otkazivanju kad počne nova razmjena poruka.