CVE-2026-116070 Docker-Proxyの認証欠如による設定情報不正アクセス
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Docker-Proxyのバージョン5.1.9以下のhubcmduiのroutes/config.jsで認証が欠如している脆弱性が確認され、不正アクセスによって設定情報の読み取りや上書きが可能になる問題が報告されています。この脆弱性を悪用すると、WeChatのWebhook URLやTelegramボットトークンの取得、メニュー項目のリンクやプロキシドメイン、アラート通知先の変更が可能となり、セキュリティ設定や監視機能に深刻な影響を及ぼす可能性があります。運用環境にDocker-Proxyを導入している場合は、公開されたパッチの適用や設定ファイルの異常変更を確認する必要があります。確認時には、/api/config経由でのアクセス制限や認証メカニズムの有無を重点的にチェックしてください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の本質を問うな。もし認証が存在しないとすれば、セキュリティの基礎は「門に鍵がない」に過ぎないのか。そのような状態を許容する運用者は、本当に「管理」を果たしているのだろうか？
確かに、門に鍵がないのは問題です。しかし、まず確認すべきは「/api/configへのアクセス制限」が適切に設定されているかです。Docker-Proxyの設定ファイルを確認し、このエンドポイントが誰にアクセス可能かをチェックしてください。また、CVSS 6.5という中程度の深刻度でも、設定情報が外部から書き換えられれば、監視機能の破綻や外部への漏洩リスクは無視できません。
では、この脆弱性を発見した際、運用者はどのようにして「責任」を果たすべきだろう？パッチ適用以外に、何を優先すべきか？
パッチ適用は当然ですが、まず「変更管理」の記録を確認してください。設定ファイルがいつ、誰が変更したのかを追跡できるかが重要です。また、監視システムがこのエンドポイントへの異常アクセスを検出できるかを確認し、ログの保存期間が十分かを検討すべきです。ベンダーの公式情報でパッチが公開されているか、Docker-Proxyの公式リポジトリを確認するのも忘れてはなりません。
では、この問題に直面した運用者は、哲学的にも実用的にも「バランス」を取るべきか？
はい。例えば、CVSSの数値に惑わされず、現実の運用環境で「/api/configが実際どのくらいアクセス可能か」を検証する必要があります。また、パッチ適用後は、設定ファイルの変更履歴を再確認し、異常なリンクやプロキシドメインの登録がないかをチェックしてください。冗談ですが、この脆弱性は「設定情報のドアに鍵が無かった」に過ぎず、鍵をかけ直すだけのことで、運用者は慌てずに対応できるでしょう。
関連キーワード: docker