Docker v29.5.1

この変更が意味すること

Docker Engine v29.5.1 が、docker cp コマンドに関する2件の重大なセキュリティ脆弱性を修正しました。

CVE-2026-41567 は、docker cp の際にアーカイブ解凍バイナリ（xz、unpigz など）をコンテナ内の PATH で解決していた設計上の問題を修正します。悪意あるコンテナイメージがカスタムバイナリを PATH に仕込んでいた場合、ホストroot権限でそのバイナリを実行させることが可能でした。マルチテナント環境や信頼できないコンテナイメージを扱う環境では特にリスクが高い脆弱性です。

CVE-2026-41568 は docker cp における TOCTOU（Time-Of-Check Time-Of-Use）競合条件の脆弱性です。コンテナプロセスがファイルシステムの書き込みタイミングを制御することで、ホストファイルシステムの任意の場所にファイルやディレクトリを作成できました。

docker cp を利用するすべての環境（CI/CD パイプライン含む）で即座のアップデートを推奨します。

主な変更点

CVE-2026-41567: docker cp におけるホストroot権限でのコード実行

docker cp コマンドの実行時、アーカイブ解凍バイナリをコンテナファイルシステム内の PATH から解決していた問題が修正されました。ホストroot権限で動作するプロセスが悪意あるバイナリを実行してしまう危険性がありました。

セキュリティアドバイザリ: https://github.com/moby/moby/security/advisories/GHSA-x86f-5xw2-fm2r

CVE-2026-41568: docker cp における TOCTOU 脆弱性

コンテナプロセスが docker cp の処理タイミングを悪用してホストファイルシステムの任意のパスにファイルやディレクトリを作成できる脆弱性が修正されました。

EOL / サポート状況

Docker Engine 29 系が現行の推奨バージョンです。28 系は引き続きサポート中ですが、セキュリティ修正の適用状況を確認してください。27 以前は EOL 済みです。

開発者への影響

1. docker cp を利用する CI/CD パイプライン: 即時アップデートが必要。ビルドパイプラインでコンテナからホストへのファイルコピーを行っている場合は特に影響を受けます
2. マルチテナント環境: 信頼できないコンテナイメージを扱う環境では CVE-2026-41567 のリスクが高い
3. Docker Desktop ユーザー: アプリ内のアップデートチェックから最新版へ更新してください
4. Docker Engine を Linux で直接管理している場合: パッケージマネージャー経由でアップデート

アップデート方法

# バージョン確認
docker --version

# Docker Desktop
# アプリ内の「Check for Updates」から最新版へ更新

# Ubuntu / Debian (apt)
sudo apt-get update
sudo apt-get install docker-ce=5:29.5.1-1~ubuntu.24.04~noble docker-ce-cli=5:29.5.1-1~ubuntu.24.04~noble

# RHEL / CentOS / Fedora (yum/dnf)
sudo yum update docker-ce-29.5.1 docker-ce-cli-29.5.1

データソース: GitHub Releases API, endoflife.date AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。