DockerはDocker Sandboxesに存在する2件の深刻な脆弱性に対し、セキュリティ修正をリリースしました。これらの脆弱性は、悪意あるゲスト環境がワークスペースの分離を破り、機密性の高いホスト側リソースへアクセスすることを可能にするものです。
CVE-2026-77179およびCVE-2026-79994として追跡されているこれらの脆弱性は、9月7日にリリースされたDocker Sandboxesバージョン0.42.0で修正されました。
Docker Sandboxesは、開発エージェント、自動化されたワークフロー、信頼できないワークロードを分離しつつ、ホストのワークスペースへの選択的なアクセスを許可する仕組みです。
しかし、今回新たに公開された2つの問題はいずれも、ファイルシステムのパス検証に関わるTOCTOU(time-of-check-to-time-of-use)という脆弱性に起因しています。どちらのケースでも、Docker Sandboxesは要求されたパス名が承認済みの共有ワークスペースに属しているかどうかを検証していました。
しかし、サンドボックス内の悪意あるプロセスは、ホストが続くファイルまたはソケット操作を実行する前に、ディレクトリをシンボリックリンクに置き換えるなどの方法で、パスの一部を改ざんすることが可能でした。
CVE-2026-77179は最も深刻な問題であり、重大度は「Critical(緊急)」と評価されています。macOS上のDocker Sandboxesバージョン0.28.0から0.42.0未満のバージョンが影響を受けます。
この脆弱性は、macOS版virtio-fsホストサーバーに存在します。同サーバーは、以前に保存されたパスを使ってリンク解除済みのファイルを再度開く際、シンボリックリンクを誤って追跡してしまう場合があります。
ゲストサンドボックス内でコードを制御する攻撃者は、元のパスが認可チェックを通過した後に親ディレクトリを置き換えることで、ホストの操作に対して競合状態(レースコンディション)を引き起こせます。これにより、ホスト側のファイル操作を意図した共有ディレクトリの外側へリダイレクトすることが可能になります。
Dockerによると、この脆弱性の悪用に成功すると、悪意あるゲストが仮想マシンモニター(VMM)ユーザーがアクセス可能な任意のファイルを読み取ったり改変したりできる可能性があります。特定の環境では、この程度のアクセス権限がホスト上でのコード実行につながる可能性もあります。
このリスクは特に、AIを活用した開発環境や自動化されたコーディング環境において重要です。こうした環境のサンドボックスでは、信頼できないリポジトリや生成されたスクリプト、サードパーティ製パッケージ、依存関係のインストール処理などを扱うことがあるためです。
2つ目の問題であるCVE-2026-79994は、重大度「High(高)」と評価されており、Docker Sandboxesバージョン0.37.0から0.42.0未満のバージョンに影響します。この脆弱性は、ゲストからホストへのUnixドメインソケットのリレー機能に影響を及ぼします。
このリレー機能は、要求されたソケットパスが認可済みワークスペース内に存在することを最初に確認していましたが、その後、接続時には元のパス文字列を使用していました。悪意あるゲストは、検証と接続の間に中間ディレクトリをシンボリックリンクに置き換えることが可能でした。
その結果、ホストは承認されたワークスペースの外側にある任意のAF_UNIXソケットへリダイレクトされる可能性がありました。
狙われるローカルサービスの種類によっては、この脆弱性によって機密データが露出したり、権限を持つホスト側のアプリケーション、開発者ツール、プラットフォームサービスとの意図しない相互作用が発生する可能性があります。
組織は直ちにDocker Sandboxesをバージョン0.42.0以降にアップグレードすべきです。Docker Sandboxes 0.43.0では、追加のセキュリティ強化やワークスペース関連の改善も含まれています。更新を展開できるようになるまでは、可能な限りクローンモードを使用し、読み書き可能なホストマウントは避けるべきです。
セキュリティチームは、共有ディレクトリを最小限に抑え、認証情報や機密性の高いリポジトリをマウントされたワークスペースの外に保管し、信頼できないコードを処理するサンドボックスは潜在的に危険なものとして扱うべきです。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業の負担を減らしています。貴チーム向けの詳細はこちら
翻訳元: https://cyberpress.org/critical-docker-sandboxes-flaw/