CVE-2026-47680 Kubernetes source-controller パス制限脆弱性 注意点
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Kubernetesのsource-controllerで、外部リポジトリからアーティファクトを取得する際のパス制限が不完全なため、攻撃者がクラスタ内に不正なファイルを書き込む可能性があります。また、GitRepositoryリソースのsparse-checkout設定により、コントローラーPod上のファイルパスを列挙できるリスクも存在します。影響範囲はsource-controller v0.0.17〜v1.8.4、およびsparse-checkout機能を搭載したv1.6.0以降のバージョンに限定されます。対策として、source-controllerをv1.8.5以降にアップグレードし、GitRepositoryのsparse-checkout設定に相対パスや絶対パスが含まれていないかを検証することが求められます。現状の制限では、攻撃者がクラスタに到達するのを防ぐためのワークアラウンドは存在せず、ポリシーエンジンによる入力検証の導入が推奨されています。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について考えると、我々は「責任」の概念に触れるのではないだろうか？例えば、運用者はこの問題をどう捉えれば、倫理的義務を果たせるだろう？
それは難しい問いですが、まずは現実に即して確認すべきです。source-controllerのバージョンがv0.0.17〜v1.8.4、またはsparse-checkout機能を搭載したv1.6.0以降かを確認する必要があります。もし該当するなら、アップグレードが最優先事項です。
では、アップグレード以外に、運用者は何を検討すべきだろう？
GitRepositoryリソースの`.spec.sparseCheckout`に`..`や絶対パスが含まれていないかを、手動で検証すべきです。また、ポリシーエンジン（KyvernoやOPA Gatekeeperなど）で`ValidatingAdmissionPolicy`を導入し、不正なパスの設定を阻止する防御策を講じるべきです。
しかし、このような問題は「見えない」リスクではないか？例えば、運用者はどうやってこの脆弱性の影響を調査すればよかろう？
現状の制限では、攻撃者がクラスタに到達するのを防ぐワークアラウンドは存在しないが、変更管理の観点から、GitRepositoryリソースの変更履歴を監視し、異常なsparse-checkout設定が導入されていないかを定期チェックする必要があります。また、ベンダーの公式情報（例えば、Fluxのリリースノート）を確認し、最新のパッチ適用状況を把握することが不可欠です。
では、この脆弱性に対する「倫理的義務」は、運用者がただパッチを当てれば済むものではないか？
そうではありません。パッチ適用だけでなく、変更管理のプロセスにこの脆弱性を組み込み、監視ツールでGitRepositoryリソースの設定変更を自動検出する仕組みを構築する必要があります。また、この問題が「見える」状態に保つことで、倫理的責任を果たすことができるでしょう。
だが、全ての運用者がこれに気づくのは難しいだろう？
確かに、時間の問題です。しかし、この脆弱性は「アップグレードと設定の検証」に帰着します。もし手間がかかるなら、少なくとも「source-controller v1.8.5以降にアップグレードするか否か」を、一度は確認してみてください。それが、運用者としての「最小限の責任」かもしれません。
関連キーワード: kubernetes