Dockerは、悪意あるゲスト環境がワークスペースの分離を回避し、ホスト上の機密リソースにアクセスできてしまうDocker Sandboxesの深刻な脆弱性2件に対し、セキュリティ修正をリリースしました。
Securitytraining courses
これらの脆弱性はCVE-2026-77179およびCVE-2026-79994として識別されており、9月7日にリリースされたDocker Sandboxesバージョン0.42.0で修正されています。
Docker Sandboxesは、開発エージェントやワークロードを分離しつつ、ホストのワークスペースを選択的に共有する仕組みです。今回の2件の脆弱性はいずれも、認可判断が下された後のパス名処理の不備に起因しています。侵害されたサンドボックスがシンボリックリンクを悪用し、検証と実際のホスト側アクセスとの間でディレクトリパスを書き換えてしまう可能性があります。
Docker Sandboxesの脆弱性
CVE-2026-77179はCritical(緊急)と評価されており、macOS版のDocker Sandboxesバージョン0.28.0から0.42.0未満のバージョンに影響します。この問題はmacOSのvirtio-fsホストサーバーに存在し、以前に保存されたパスに基づいてリンク解除済みファイルを再オープンする際、シンボリックリンクを誤って辿ってしまう不具合です。
ゲストサンドボックス内の悪意あるプロセスは、元のパスが承認された後に、親ディレクトリをシンボリックリンクに置き換えることが可能です。
このレースコンディションにより、その後に行われるホスト側のファイル操作が、認可された共有ワークスペースの外へリダイレクトされる恐れがあります。Dockerによれば、この脆弱性が悪用された場合、悪意あるゲストが仮想マシンモニター(VMM)ユーザーがアクセス可能な任意のホストファイルを読み取ったり改変したりできてしまう可能性があります。これはホスト上でのコード実行につながる恐れもあります。
この脆弱性は、サンドボックスが信頼できないリポジトリや生成コード、サードパーティ製ツール、ソフトウェア依存関係を扱うことが多い開発者向け・AIエージェント向けのワークフローにおいて、特に重大な意味を持ちます。
サンドボックスが有効に機能するためには、攻撃者に改変されたパス名を再評価するのではなく、その後のすべてのファイルシステム操作を最初に認可されたディレクトリオブジェクトに限定しなければなりません。
CVE-2026-79994はHigh(重要)と評価されており、影響を受けるすべての展開環境において、Docker Sandboxesバージョン0.37.0から0.42.0未満のバージョンに影響します。この脆弱性は、ゲストからホストへのUnixドメインソケットリレーに関するものです。
Docker Sandboxesは当初、要求されたソケットパスが承認済みワークスペース内にあるかどうかを検証していましたが、その後の接続確立には元のパス文字列をそのまま使用していました。攻撃者はこの2つの処理の間にある隙を突き、中間ディレクトリをシンボリックリンクに置き換えることで悪用できます。
これにより、ホストが共有ワークスペースの外にある任意のAF_UNIXソケットへ接続してしまう恐れがあります。標的となったソケットに紐づくサービス次第では、情報漏えいや、そのソケットを通じて公開されているホスト側機能への意図しないアクセスにつながる可能性があります。
一般的なネットワークサービスの露出とは異なり、Unixソケットは特権を持つアプリケーションや開発ツール、プラットフォームサービスに対して、しばしばローカルのプロセス間通信(IPC)インターフェースを提供します。この脆弱性は、パス名検証を一度限りのセキュリティ制御として扱うことのリスク、とりわけそのパスが使用前に改変され得る場合のリスクを浮き彫りにしています。
CVE詳細
| CVE | 製品・コンポーネント | 深刻度 | 影響を受けるバージョン | セキュリティへの影響 | 修正バージョン |
|---|---|---|---|---|---|
| CVE-2026-77179 | macOS版Docker Sandboxesのvirtio-fsホストサーバー |
Critical | 0.28.0から0.42.0未満 | シンボリックリンクのレースコンディションによりワークスペース脱出とVMMユーザー権限での任意のファイル読み書きが可能に。ホスト上でのコード実行につながる恐れあり | 0.42.0 |
| CVE-2026-79994 | Docker SandboxesのゲストからホストへのUnixソケットリレー | High | 0.37.0から0.42.0未満 | シンボリックリンクのレースコンディションにより、ホスト接続を許可されていないAF_UNIXソケットへリダイレクト可能 |
0.42.0 |
| CVE-2026-17106 | Docker Desktopのdocker container cp |
記載なし | 4.86.0より前のDocker Desktopバージョン | 出力先脱出の脆弱性 | 4.86.0 |
| CVE-2026-5843 | Docker Model RunnerのMLXバックエンド | 記載なし | 4.71.0より前のDocker Desktopバージョン | コンテナからホストへのコード実行 | 4.71.0 |
| CVE-2026-5817 | Docker Model Runnerのvllm-metalバックエンド |
記載なし | 4.68.0より前のDocker Desktopバージョン | コンテナからホストへのコード実行 | 4.68.0 |
| CVE-2026-33990 | Docker Model RunnerのOCIレジストリクライアント | 記載なし | 4.67.0より前のDocker Desktopバージョン | サーバーサイドリクエストフォージェリ | 4.67.0 |
| CVE-2026-28400 | Docker Model Runner | 記載なし | 4.62.0より前のDocker Desktopバージョン | ランタイムフラグインジェクション | 4.62.0 |
| CVE-2026-2664 | gRPC-FUSEカーネルモジュール | 記載なし | 4.62.0より前のDocker Desktopバージョン | 境界外読み取り | 4.62.0 |
各組織は直ちにDocker Sandboxesをバージョン0.42.0以降にアップグレードすべきです。Dockerがその後リリースした0.43.0にも、追加のセキュリティ強化とワークスペース関連の改善が含まれています。
Securitytraining courses
直ちにアップグレードできない場合、Dockerはクローンモードの利用と、読み書き可能なホストマウントを避けることを推奨しています。クローンモードはホストワークスペースへの直接的な露出を減らし、書き込み可能なマウントを取り除くことで、悪意あるゲストがパスのリダイレクトに成功した場合の被害を限定できます。
セキュリティチームは、信頼できないコードを実行するサンドボックスを潜在的に危険なものとして扱い、ホストにマウントするディレクトリを最小限に抑え、認証情報や機密性の高いリポジトリを共有パス上に置かないようにするとともに、macOS開発者端末全体でのDocker Sandboxesのバージョン展開状況を監視すべきです。
SOCのアラート調査時間を1件あたり21分削減。即座のIOCコンテキストでSOCの対応力を強化: TI Lookupを貴社のSOCに統合する
翻訳元: https://gbhackers.com/docker-sandboxes-vulnerabilities/