CVE-2026-102282 adm-zipの権限設定脆弱性に注意
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
adm-zipライブラリのバージョン0.6.1以前では、ZIPファイルの抽出時に`keepOriginalPermission=true`が指定されると、Unixのパーミッションビット（setuid/setgidなど）をそのまま適用してしまう脆弱性が確認されています。攻撃者が作成した悪意のあるZIPファイルをroot権限で抽出した場合、抽出されたバイナリにsetuidフラグが付与され、後に低権限ユーザーが実行することでroot権限を取得できる可能性があります。Docker構築やCI環境など、adm-zipをrootで利用するケースが該当します。CVSSスコア7.1（深刻度HIGH）のため、該当ライブラリが使用されている環境では0.6.1へのアップグレードを確認し、抽出処理の設定（特に`keepOriginalPermission`の有無）を点検することが重要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の存在は、技術の進歩とその責任のバランスを問うているのではないだろうか？「許可を保持する」という設定が、権限の誤用に至る道を開くとは、哲学的にも興味深い。
確かに、ソクラテス。しかし、我々はまず「adm-zipが使用されているか？」を確認すべきでしょう。DockerやCI環境でroot権限で動かしている場合、このライブラリが呼び出されているかをコードベースやパッケージ管理システムで点検する必要があります。
では、その確認が完了した後、次に問うべきは「設定が適切か？」ではないか？`keepOriginalPermission`がデフォルトで有効になっている場合、その設定を無効化するべきではないか？
その通りです。また、パッチ適用の際は、0.6.1へのアップグレードが必須です。ただし、変更管理のプロセスに従ってテスト環境での影響を確認し、ステージング環境で動作を検証した上で本番に適用するべきです。
監視の観点では、抽出処理のログを収集し、不正なパーミッションの設定が行われていないかを定期的に監視する必要があるだろうか？
まさにその通りです。さらに、ベンダーの公式情報やNVDの記録を確認し、他に影響を受ける可能性のあるライブラリや依存関係を把握しておくことが重要です。
では、この脆弱性は「技術の誤用」なのか、「設計の欠陥」なのか？
どちらも関係しているでしょうが、現場の管理者としては、まず「自分が使用しているか？」を確認し、次に「設定が適切か？」を点検し、最後に「パッチが適用されているか？」を確認するというプロセスが肝要です。さもなくば、Dockerのデフォルトroot権限が我々の手を離れてしまうでしょう。
関連キーワード: docker