CVE-2026-73802 Gitea Runner Docker環境でのコンテナ隔離バイパッス脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Gitea RunnerがDockerジョブコンテナでprivilegedモードを無効にした状態でも、ホスト名前空間の設定やセキュリティプロファイルの上書きが可能となる脆弱性が確認されました。ワークフロー作成者がジョブを実行できる環境では、コンテナの隔離をバイパッスし、ホスト上でのroot権限のコマンド実行が可能になるリスクがあります。Dockerを用いたGitea Runnerの運用環境では、ジョブ設定でホスト名前空間やセキュリティ設定が意図せず適用されていないか、privilegedモードの制限が適切に機能しているかを確認する必要があります。製品のバージョンや具体的な回避策は明記されていないため、公式の修正情報待ちで対応を検討してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性を前にして、我々は「隔離」という概念を再考すべきではないか。コンテナが意図的にホストの権限にアクセスできるという事実は、技術的信頼の基盤を揺るがすのではないだろうか。
確かに、ソクラテス。だが、このケースでは「隔離の信頼性」が問題なのである。Dockerのジョブコンテナ設定でホスト名前空間やセキュリティプロファイルが意図せず適用されていないか、確認する必要がある。たとえば、`–namespace`や`–security-opt`のパラメータがワークフロー設定で無効になっていないか、実際にコンテナ起動時にどのオプションが適用されているかを、`docker inspect`で確認すべきだ。
では、この脆弱性が発生する条件は、privilegedモードが無効でも、ホストの設定が上書きされるという点ではないか。これは「セキュリティの緩和」にすぎないのか。
その通りだが、問題は「緩和の認識」にある。運用者は、Dockerのセキュリティプロファイル（例：`–read-only`や`–cap-drop`）がジョブ設定で意図的に上書きされていないかを、`gitea-runner`の設定ファイルやDocker Composeの定義を精査する必要がある。また、ホスト名前空間（`–pid`, `–net`など）が無効になっていないか、`docker info`で確認するのも重要だ。
しかし、この脆弱性の影響範囲は、ワークフロー作成者が「ジョブを実行できる環境」に限定されている。これは、運用者としての責任範囲を狭めるものではないか。
その通りだが、責任範囲を狭めることはできない。例えば、ワークフロー作成者が外部ユーザーの場合、アクセス制限（例：`–user`パラメータや`–readonly`）を強制する仕組みが存在するか、変更管理の履歴を確認する必要がある。また、`gitea-runner`のバージョンが公式に修正済みかを、公式ドキュメントで毎日確認する習慣をつけるべきだ。
では、この脆弱性に対処するためには、パッチ適用が最優先なのか。
公式の修正情報が出るまで、現状ではパッチ適用はできないだろう。だが、影響調査として、現行のDockerコンテナ設定がホストの名前空間やセキュリティプロファイルを上書きしていないかを、`docker run`時のログや`/var/log/messages`を監視して確認する必要がある。また、ベンダー情報確認として、Giteaの公式リリースノートやGitHubのIssueトラッカーを毎日チェックする習慣をつけるべきだ。
最後に、この脆弱性の教訓は何か。
教訓は「技術的信頼の再確認」である。コンテナの隔離は、設定の正確さに依存する。運用者は、定期的な設定レビューと監視、そしてベンダーの情報更新を、コーヒーを飲みながらでも、忘れないようにしなければならない。
関連キーワード: docker