CVE-2026-41567

概要

Mobyはオープンソースのコンテナフレームワークです。29.5.1より前のバージョン、およびmoby/moby v2のv2.0.0-beta.14より前のバージョンでは、圧縮アーカイブが`PUT /containers/{id}/archive`を介してコンテナにアップロードされるか、`docker cp -`を介してパイプで渡されると、デーモンは操作順序の誤りにより、ホストのファイルシステムではなくコンテナのファイルシステムから解凍バイナリ（`xz`や`unpigz`など）を解決します。トロイの木馬化された解凍バイナリを含む悪意のあるコンテナイメージは、ユーザーが圧縮（xzまたはgzip）アーカイブをそのコンテナにアップロードすると、ホストのroot UIDや無制限のケーパビリティを含む完全なデーモン権限で任意のコード実行を達成できます。この問題はDocker Engine 29.5.1およびmoby/moby v2.0.0-beta.14で修正されています。回避策としては、信頼できるイメージからのみコンテナを実行すること、認可プラグインを使用して`PUT /containers/{id}/archive`エンドポイントへのアクセスを制限すること、信頼できないイメージから作成されたコンテナに圧縮アーカイブをパイプで渡さないことが挙げられます。

ソース

• CVE-2026-41567エクスプロイト

  CVE-2026-41567のDockerエスケープを悪用し、トロイの木馬化されたxz/unpigzバイナリを使用して、コンテナ内からホスト上でrootシェルを取得します。