CVE-2026-41567 コンテナデコムプレッション脆弱性で任意コード実行可能
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Linuxサーバー運用者向けに、CVE-2026-41567の要約を提供します。この脆弱性は、Dockerエンジンのバージョン29.5.1以前やmoby/moby v2のベータ版v2.0.0-beta.14以前で発生します。ユーザーが圧縮されたアーカイブ（xzやgzip形式）をコンテナにアップロードする際、コンテナ内のデコムプレッションバイナリ（例：xzやunpigz）がホスト側のそれではなくコンテナ側のものから解決されるため、悪意のあるコンテナイメージに改変されたバイナリを含めることで、任意のコード実行が可能になります。これにより、ホストのroot権限や制限なしのカプセル機能を持つデーモンプロセスの権限を取得できるリスクがあります。確認時は、使用中のDockerエンジンのバージョンを確認し、信頼できるイメージのみを運用することを推奨します。また、PUT /containers/{id}/archiveエンドポイントへのアクセスを制限する認証プラグインの導入や、非信頼イメージからの圧縮アーカイブの処理を避けるなどの対策が有効です。パッチ適用や設定の見直しが必要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について問う。コンテナとホストの境界が曖昧になるとき、運用者は一体何を確認すべきだろう？
まず、Dockerエンジンのバージョンをチェックせねばなりません。CVEに記載されたバージョンより古い場合、パッチ適用が急務です。また、信頼できるイメージだけを運用するという点も重要ですね。
では、このリスクを「任意のコード実行」と呼ぶのは、運用者にとってどのような意味を持つだろう？
たとえば、ホストのroot権限が取得できる可能性があるため、コンテナ内のバイナリが信頼できるかを厳しく検証する必要があります。PUTエンドポイントへのアクセス制限や、非信頼イメージからのアーカイブ処理を避けるといった対策が現実的です。
哲学的に問うが、この脆弱性は「システムの信頼性」に直接挑戦するのではないだろうか？
はい、まさにその通りです。しかし、現実的には、変更管理のプロセスにこの脆弱性の対応を明記し、監視ツールで異常なバイナリの挿入を検出する仕組みを構築する必要があります。
では、ベンダー情報の確認はなぜ重要か？
パッチの適用が可能かどうか、または該当バージョンがサポート終了しているかを確認するためです。また、CVE情報の更新日時をチェックし、最新の対応策を把握する必要があります。
最後に、運用者に最も伝えたいことは？
冗談抜きで、信頼できるイメージの選定とバージョン管理が命です。それと、この脆弱性の対応を変更管理の文書に記載し、チーム全体で意識を統一しましょう。さもなくば、次の朝に「コンテナが暴走している」なんて冗談が現実になりますよ。
関連キーワード: docker