CVE-2026-79755 Nuclio Dockerプラットフォームに深刻な脆弱性発覚
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
NuclioのローカルDockerプラットフォームで、関数名前空間が検証せずにDockerコマンドに組み込まれる構造上の問題が発覚しました。デフォルトの認証設定が無認証（nop）であるため、リモートから任意のOSコマンドをルート権限で実行できる可能性があります。この脆弱性により、ダッシュボードコンテナ内からホストのDockerソケットにアクセスし、ホスト自体の制御権が失われるリスクがあります。Dockerを用いたNuclio環境を運用している場合は、影響範囲を確認し、1.17.4以降のパッチ適用を検討してください。確認時は、デフォルトの認証設定が適切に構成されているかを再確認し、不要なアクセスを制限する対策を講じることが重要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、このNuclioの脆弱性について、なぜデフォルトの認証設定が「nop」であることが問題になるのか。その構造的な欠陥が、運用者にどのような問いを突きつけるだろう？
それはね、ソクラテス。まず、私たちが運用しているDocker環境で、デフォルトの認証設定が本当に「nop」になっているかを確認する必要があります。そして、その設定が許可するアクセス範囲が、本当に必要なものなのかを問い直す必要があるでしょう。
では、この脆弱性が発生する構造的な問題は、どのようにして「任意のOSコマンドの実行」に繋がるのか。そのメカニズムを問うならば、運用者は何を観察すべきだろう？
関数名前空間が検証されないままDockerコマンドに組み込まれている点です。つまり、ユーザーが意図せずに「docker ps –filter "label=…"」というコマンドに悪意ある文字列を注入できる可能性があります。このため、ホストのDockerソケットにアクセスし、システム全体を制御できるリスクがあるのです。
では、このリスクを回避するためには、パッチ適用以外に何が必要だろう？
まず、影響範囲を確認する必要があります。どのバージョンが対象かを明確にし、1.17.4以降のパッチ適用を検討しましょう。また、変更管理として、パッチ適用後の設定変更をドキュメント化し、監視システムでDockerソケットへのアクセスを監視する仕組みを構築するべきです。
その上で、ベンダー情報の確認はなぜ重要なのか。
Nuclioの公式ドキュメントに、この脆弱性の影響範囲や対応策が記載されているからです。ベンダーが提供する情報は、現場で即座に行動できる手がかりになります。例えば、このケースでは、デフォルトの認証設定を変更するよう指示されているかもしれません。
では、この脆弱性が「深刻度HIGH」であるにもかかわらず、運用者はなぜ軽視しがちなのか。
おそらく、Dockerの「nop」認証がデフォルトであることに慣れてしまっているからでしょう。でも、この場合、ホストの制御権が失われるリスクは「Dockerソケットの黄金のチケット」に過ぎないかもしれません——でも、チケットを無駄にしないよう、しっかりチェックしましょう。
関連キーワード: docker