Docker Desktopの重大な脆弱性、セキュリティアップデートで修正

要約

Dockerは2026年11月3日、Docker Desktop バージョン4.98.0をリリースしました。このリリースでは、コンテナランタイムに存在する2件の重大なDocker Desktopの脆弱性が修正されています。特に深刻な脆弱性では、権限のないコンテナがWindows環境で分離を突破できてしまいます。そのため、開発者はただちにDockerツールを更新し、自身のワークステーションを被害から守る必要があります。

[cve_glance_multi ids=”CVE-2026-112917, CVE-2026-98432″]

なぜ重要なのか

Docker Desktopは、世界で最も広く使われているコンテナツールです。業界データによると、その普及度は非常に高く、2,000万人を超える開発者がワークステーションでDocker Desktopを利用しています。数百万人のエンジニアがWindows上でこのツールを実行し、Windows Subsystem for Linux（WSL2）を使ってコンテナをホストしています。開発者のPCには、秘密鍵が保存されていることが少なくありません。データベースのパスワードやソースコードも保管されています。このため、コンテナからの脱出（ブレイクアウト）を許す脆弱性は、企業の資産にとって現実的なリスクとなります。攻撃者はファイルを盗み出せるほか、ローカルネットワーク全体にマルウェアを仕込むこともできます。

幸いなことに、Dockerは、実環境での悪用は確認されていないとしています。また、これらの脆弱性に関する公開のエクスプロイトコードも、セキュリティ関係者からは公開されていません。

攻撃の仕組み

今回のセキュリティリリースでは、コンテナのフィルターと、同梱されているLinuxカーネルのコードにある欠陥が修正されました。

WSL2のAF_VSOCKによる分離バイパス

1件目のCVE-2026-112917は、Windows版WSL2バックエンドにおけるコンテナ分離のバイパスです。この脆弱性は、研究者のOryam Halachmi氏とTevel Halachmi氏が発見しました。セキュリティアドバイザリーは次のように警告しています。「WSL2バックエンドを使用するDocker Desktop for Windowsでは、権限のないLinuxコンテナが32ビットのsocketcallを利用して、AF_VSOCKに対するデフォルトのseccomp制限を回避できます」

Dockerは、デフォルトのseccompプロファイルを使って、AF_VSOCKソケットファミリーへのアクセスをブロックしています。このソケットファミリーは、ホストとLinuxゲストVMの間の通信を管理するものです。しかし、64ビット版のWSL2カーネルは、古い32ビットのシステムコールにも対応しています。コンテナ内のプロセスが32ビットのsocketcallを実行すると、64ビットのseccompフィルターをすり抜けられます。この結果、コンテナはホストのAF_VSOCKバスに直接アクセスできるようになります。その後、コンテナはホスト側のWindowsサービスに接続できます。攻撃者は、Windowsの非公開ファイルを読み取ったり、変更したりできます。ログイン中のユーザーが所有するあらゆるファイルにアクセスできてしまいます。

LinuxカーネルのIPv4におけるUse-After-Free

2件目のCVE-2026-98432は、Linuxカーネルのネットワークスタックに存在する重大なUse-After-Free（解放後使用）の脆弱性です。この脆弱性のCVSSスコアは9.8です。Dockerはリリースノートで、このビルドで「LinuxカーネルのIPv4 TCP処理におけるUse-After-FreeであるCVE-2026-98432を修正した」と明らかにしています。

この脆弱性は、カーネルが複数のIPv4 TCPリクエストを並行して処理する際に発生します。具体的には、tcp_v4_syn_recv_sock関数がソケットオプションをコピーせずに所有権を移しています。競合状態のバグにより、スレッドがIPオプションを使用している最中にカーネルがそれを解放してしまいます。その結果、メモリが破損し、システムのクラッシュや、root権限でのコード実行につながる恐れがあります。

影響を受けるバージョン

これらのDocker Desktopの脆弱性は、バージョン4.98.0より前のDocker Desktop for Windowsに影響します。具体的には、x86-64のWSL2を使用する環境が対象です。LinuxKitバックエンドとmacOSのシステムは、このバイパスの影響を受けません。

パッチと緩和策

ユーザーはただちにソフトウェアを更新してください。詳細は、Docker Desktop 4.98.0の公式リリースノートで確認できます。ただし、Docker Desktopを更新するだけでは不十分です。ベンダーは次のように警告しています。「この問題が完全に修正されるのは、Docker Desktop 4.98.0以降とWSL 3.0.3以降を併用した場合のみです」。そのため、Windowsユーザーは、PowerShellでwsl –updateを実行する必要があります。この手順により、WSLがバージョン3.0.3以降に更新されます。最後に、管理者はシステムを再起動し、カーネルの修正をすべて適用してください。