CVE-2026-118763 Dockerレジストリ操作時の認証情報漏洩に注意
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
sigstore-jsのバージョン0.7.2以前に存在する脆弱性により、Dockerレジストリ操作時に認証情報の漏洩が発生する可能性があります。RegistryClientのsignInメソッドが共有HTTPクライアントに認証ヘッダをデフォルトとして保存し、uploadBlobメソッドがレジストリの指定したURLにPUTリクエストを送信する際、オリジンやプロトコルの検証を行わないため、悪意のあるレジストリが攻撃者に認証情報を転送するリスクがあります。運用上は、sigstore-jsのバージョンを0.7.2以降に更新し、使用中のレジストリが信頼できるか確認することが重要です。また、セキュリティ更新が公開されている場合、パッチ適用を優先する必要があります。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の本質は、信頼されたシステムが不注意により、自身の秘密を悪意ある者に与えることではないか？例えば、共有された鍵が誤って他者の手に渡るような比喩に似ていないか？
なるほど、ソクラテス。しかし実際には、このケースでは「共有されたHTTPクライアント」が、レジストリの認証情報を不特定多数のURLに送信するように設定されているのです。運用者はまず、使用中のレジストリが信頼できるかを確認すべきです。例えば、Docker Hubや企業内レジストリが対象かを確認し、そのURLが許容範囲内にあるかを検証する必要があります。
では、その「不特定多数」を防ぐには、どうすればよかろう？
sigstore-jsを0.7.2以降に更新するのが第一歩です。パッチ適用は、セキュリティ更新が公開された時点で優先的に実施すべきです。また、変更管理の観点から、更新後の動作をテスト環境で確認し、本番環境への適用を段階的に進める必要があります。
しかし、更新後も監視は欠かせないだろう。
その通りです。ログに「PUTリクエストの送信先URL」が記録されているかを確認し、異常なアクセスを検出する仕組みを構築しましょう。また、ベンダーの公式情報やNVDの記載を確認し、今後の更新履歴や影響範囲を把握しておくことも重要です。
では、運用者はこの脆弱性を「哲学的な危機」と見るべきか？
いや、むしろ「日常的な危機」です。共有された鍵を誤って他者に渡さないよう、日々の運用に気を配る必要があります。例えば、ドアの鍵を複数の人に渡さないような、単純な常識をもって対応すればよいのです。
（※注：「共有されたHTTPクライアント」を「ドアの鍵」に比喩）
関連キーワード: docker