Docker v29.4.3

この変更が意味すること

Docker v29.4.3 がリリースされました。CVE-2026-31431 の修正を含むセキュリティパッチリリースです。

v29.4.2 で導入された seccomp の広範な socketcall(2) 拒否ルールが、32ビットプログラムおよび i386 イメージを壊すリグレッションを引き起こしていました。本リリースでは、この問題を根本的に解決するため、seccomp ルールを LSM（Linux Security Module）層のターゲットを絞ったルールに置き換えています。

Docker を本番環境で利用している方は、特に 32ビットワークロードを実行している場合、早めのアップデートを推奨します。

主な変更点

CVE-2026-31431: 32ビットプログラム・i386リグレッションの修正

v29.4.2 で AF_ALG ソケットをブロックするために導入された seccomp の socketcall(2) 全面拒否が、32ビットプログラムの正常な動作まで阻害していました。

本修正では、seccomp ルールを以下のターゲットを絞ったアプローチに置き換えています:

• AppArmor: deny network alg ルールで AF_ALG を LSM 層でブロック
• SELinux: alg_socket ルールで AF_ALG をブロック

これにより、socket(2) と socketcall(2) の両方のパスで AF_ALG がブロックされつつ、正当な32ビットワークロードには影響しなくなりました。

PR: moby/moby#52537

重要: SELinux ベースのシステムでは、この修正を有効にするためにデーモンで SELinux を有効にする必要があります:

{
  "selinux-enabled": true
}

または CLI フラグ --selinux-enabled を使用してください。デフォルトでは無効である点に注意してください。

デフォルト AppArmor プロファイルの修正

デフォルトの AppArmor プロファイルにも修正が含まれています。

EOL / サポート状況

Docker 29 が現行のアクティブリリースラインです。27 以前は EOL 済のため、28 または 29 への移行を推奨します。

開発者への影響

1. 32ビットワークロード利用者: v29.4.2 で壊れていた 32ビットプログラム・i386 イメージが正常に動作するようになります。早急にアップデートしてください
2. SELinux 環境の利用者: SELinux の緩和策を有効にするには selinux-enabled: true の設定が必要です
3. AppArmor 環境の利用者: AppArmor ルールが自動的に適用されます。追加設定は不要です
4. v29.4.2 未使用の場合: v29.4.1 以前からアップデートする場合も、本バージョンへの直接アップデートを推奨します

アップデート方法

# Ubuntu/Debian
sudo apt-get update
sudo apt-get install docker-ce docker-ce-cli containerd.io

# CentOS/RHEL
sudo yum update docker-ce docker-ce-cli containerd.io

# Docker Desktop の場合はアプリケーションのアップデートを確認

データソース: GitHub Releases API, endoflife.date AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。