CVE-2026-105743 Docling URL検証機能脆弱性～DNSリバインディングリスク
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
DoclingのURL検証機能にDNSリバインディングを許可する脆弱性が存在します。リモートフェッチングが有効な環境では、外部から内部サービスにアクセスされるリスクがあります。HTMLレンダリング設定やURL検証の不備により、HTTP/HTTPS通信の目的地が不適切に解析される可能性があります。影響範囲はDoclingのバージョン2.91.0〜2.132.0に限定され、2.132.0以降で修正済みです。運用環境にDoclingを導入している場合、リモートフェッチングの設定やURL検証ルールの確認、最新バージョンへのアップグレードが重要です。確認時は、アプリケーションのURL処理ロジックとネットワーク設定の整合性を確認してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、Doclingの脆弱性について考えよう。DNSリバインディングが許可されるという状況は、ネットワークの「境界」が曖昧になることを示しているのではないだろうか？この脆弱性は、技術的な設計の不備と倫理的な「信頼」の問題を同時に浮き彫りにしているように思えるが、どう思う？
ソクラテス、ご指摘の通りです。しかし、哲学の領域にとどまらず、実際の運用ではまず「リモートフェッチングの設定」を確認すべきです。Doclingが導入されている環境では、HTMLBackendOptionsのrender_pageパラメータがTrueに設定されていないか、URL検証ルールが単一のIPv4検索に依存していないかを、コードや設定ファイルで確認する必要があります。また、バージョンが2.91.0〜2.132.0の範囲にあるかを確認し、2.132.0以降へのアップグレードを検討すべきです。
なるほど。しかし、技術的な対応だけでなく、この脆弱性がもたらす「信頼の崩壊」をどう捉えるべきだろうか？外部からのアクセスが内部サービスに及ぼす影響は、倫理的な「境界」の破綻と結びついているのではないだろうか？
笑いながら、ソクラテス、哲学的議論は大切ですが、現実の運用ではまず「変更管理」の文書を確認してください。この脆弱性が発見された際、パッチ適用の記録がしっかり残っていれば、セキュリティ監査でも安心です。また、ネットワーク監視ツールで、不正なDNSリゾルバが利用されていないかを定期的にチェックする習慣をつけると良いでしょう。
そして、ベンダー情報の確認も不可欠なようだ。Doclingの公式ドキュメントやアップデート履歴を確認し、他の運用環境に影響がないかを検証する必要がある。
その通りです。最後に、CVSSスコア4という中程度の深刻度ですが、DNSリバインディングは「見えない脅威」です。定期的な影響調査と、設定の整合性を確認する習慣を、Linux運用者としてぜひ身につけましょう。さもなくば、ある日突然「リモートフェッチングが有効だった！」と慌てることになるかもしれませんよ。
関連キーワード: bind