概要
Docker（Moby）の認証プラグイン（AuthZ）において、過大なサイズのリクエストボディを受け取った場合に認可チェックがバイパスされる脆弱性が確認されました。本脆弱性は過去に修正された CVE-2024-41110 のリグレッション（再発）とされています。
認可プラグインを使用して Docker へのアクセスを制御している環境では、想定外の操作が許可されてしまう可能性があります。
CVSSベクトル
CVSS スコアは本稿執筆時点で NVD による評価が未完了のため、数値は未確定です。GHSA 分類は High です。
| 項目 | 内容 |
|---|---|
| 深刻度 | High（GHSA 分類） |
| 脆弱性種別 | 認可バイパス（AuthZ プラグイン） |
| 攻撃経路 | ネットワーク（Docker デーモン） |
| 前提条件 | Docker AuthZ プラグインの使用 |
影響を受けるソフトウェア
| 製品名 | エコシステム | 影響バージョン |
|---|---|---|
| github.com/moby/moby | Go | < 29.3.1 |
| github.com/docker/docker | Go | < 29.3.1 |
| github.com/moby/moby/v2 | Go | < 2.0.0-beta.8 |
修正バージョンと回避策
- 修正バージョン: Docker Engine 29.3.1 以降
- アップデート方法: 各 OS のパッケージマネージャーまたは Docker 公式インストール手順に従ってアップデートしてください
- 回避策: AuthZ プラグインを使用していない環境では直接の影響は限定的ですが、アップデートを推奨します
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。