CVE-2026-100839 Kubernetes機密計算ACPI/AML脆弱性注意
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Linuxサーバー運用者向けに、ContrastのKubernetes向け機密計算ランタイムにおいて、バージョン1.18.0以前でACPI/AML処理に脆弱性（CVE-2026-100839）があることが判明しました。この脆弱性により、ホスト側（QEMU）から不正なACPIテーブルがゲストOS（Linuxカーネル）に送信され、任意のコード実行や機密データの改ざん・漏洩が可能になります。影響を受けるのはAMD SEV-SNPプラットフォームでMetal-QEMU-SNPやMetal-QEMU-SNP-GPUを使用する環境です。攻撃者はホストを制御し、悪意のあるAMLバイトコードを注入することで、ゲストメモリにアクセスできる状態になります。この問題はContrastに特化したものではなく、ACPIインターフェースをホストに公開する機密計算環境全般に影響を与えます。確認時は、使用しているQEMUおよびOVMFのバージョンを確認し、1.18.0以降へのアップグレードや、カーネルのAMLインタプリタのサンドボックス化設定が適切かを点検してください。また、機密データの保護を目的としたセキュリティ設定の見直しが必要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性は、信頼の構造に疑問を投げかけているのではないだろうか？ホストがゲストに信頼を強いるという状況が、哲学的に矛盾を生んでいるように思われる。
ごもっともです。しかし現実の運用者は、まずQEMUとOVMFのバージョンを確認するべきでしょう。1.18.0以降か、それとも未だに脆弱性のあるバージョンを使っているのか。この確認が、まずは哲学的な問いを実務に落とし込む第一歩です。
では、パッチ適用の意義は？アップグレードは単なる技術的対応に終わらないだろうか？
確かに技術的対応ですが、変更管理のプロセスを再確認する必要があります。パッチ適用は、セキュリティ設定の見直しとセットで行うべきです。たとえば、カーネルのAMLインタプリタがサンドボックス化されているかを確認するのも、運用者としての義務です。
だが、監視の役割は？この脆弱性が発見された後、運用者は何を監視すべきだろう？
ホスト側のQEMUが不正なACPIテーブルを送信していないかを監視し、ゲストメモリへのアクセスを検知する仕組みを導入するべきです。また、ベンダーの情報確認も重要です。Contrastだけでなく、AMD SEV-SNPやMetal-QEMU-SNPのドキュメントを精査して、影響範囲を明確にしてください。
では、この脆弱性が示す倫理的教訓は？
信頼の構造は、技術的対応だけでなく、運用の透明性と継続的な見直しに依存するということです。笑いながらも、この脆弱性は「ホストがゲストを信頼する」という前提が、逆にリスクを生む可能性を示しています。運用者は、この「信頼」を常に疑い、確認する姿勢が求められるのです。
関連キーワード: linux, kernel, kubernetes, qemu