「Docker Engine」に複数の脆弱性 - 権限昇格や認可回避など修正

コンテナ環境で広く利用される「Docker Engine」においてセキュリティアップデートが公開された。複数の脆弱性が解消されている。

開発チームは現地時間2026年3月25日、アップデートとなる「同29.3.1」をリリース。バグの修正にくわえて、「Docker Engine」や関連コンポーネントにおける脆弱性4件に対処した。

「CVE-2026-33747」は、「BuildKit」におけるパストラバーサルの脆弱性。信頼できないカスタムフロントエンドを利用した場合に、「BuildKit」の内部作業用ディレクトリ外にファイルを書き込まれるおそれがある。

リポジトリ外のファイルへアクセスできる脆弱性「CVE-2026-33748」や、プラグインインストール時の権限検証処理に不備があり、ユーザーが承認していない権限が付与される可能性がある脆弱性「CVE-2026-33997」に対応した。

さらに「Moby」において「AuthZプラグイン」を利用している場合に、認可をバイパスされるおそれがある脆弱性「CVE-2026-34040」を解消。「CVE-2024-41110」の修正が不十分だったことに起因するが、脆弱性の悪用は難しいとの見方が示されている。

（Security NEXT - 2026/04/08 ）ツイート