プラットフォーム
rust
コンポーネント
youki
修正版
0.5.8
0.5.7
CVE-2025-62161 は、youki における Race Condition の脆弱性です。この脆弱性により、攻撃者はシンボリックリンクを悪用して、本来アクセスできないファイルにアクセスできるようになる可能性があります。影響を受けるバージョンは 0.5.7 以前です。この脆弱性は、バージョン 0.5.7 で修正されました。
この脆弱性は、攻撃者が /dev/null をシンボリックリンクに置き換えることで悪用されます。これにより、攻撃者は任意のファイルをコンテナにマウントできるようになり、機密情報の漏洩、システムの改ざん、さらにはシステムの完全な制御権奪取につながる可能性があります。攻撃者は、コンテナ内の重要な設定ファイルや認証情報にアクセスし、悪用する可能性があります。この脆弱性の影響範囲は非常に大きく、システム全体に影響を及ぼす可能性があります。類似の脆弱性は、コンテナ環境におけるファイルアクセス制御の不備から発生する可能性があります。
CVE-2025-62161 は 2025年11月5日に公開されました。現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、Race Condition の脆弱性は一般的に悪用が容易であり、今後、悪用される可能性は高いと考えられます。EPSS スコアは、攻撃の可能性が高いことを示す medium に設定される可能性があります。NVD および CISA の情報も確認し、最新の状況を把握することが重要です。
エクスプロイト状況
EPSS
0.06% (18% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応策として、まず、youki をバージョン 0.5.7 以降にアップグレードすることを強く推奨します。アップグレードが直ちに不可能である場合は、一時的な回避策として、コンテナ内の /dev/null を直接書き換えられないように、ファイルシステムのパーミッションを制限することを検討してください。また、WAF (Web Application Firewall) やプロキシサーバーを使用して、悪意のあるシンボリックリンクの作成を試みるトラフィックを検出およびブロックすることも有効です。アップグレード後、youki --version コマンドを実行して、バージョンが正しく更新されていることを確認してください。
Actualice youki a la versión 0.5.7 o superior. Esta versión corrige la vulnerabilidad de escape de contenedor causada por condiciones de carrera en el montaje de /dev/null. La actualización previene la explotación de esta vulnerabilidad.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-62161 は、youki における Race Condition の脆弱性です。攻撃者はシンボリックリンクを悪用して任意のファイルにアクセスできる可能性があります。
youki のバージョンが 0.5.7 以前を使用している場合は、この脆弱性の影響を受けます。
youki をバージョン 0.5.7 以降にアップグレードしてください。アップグレードができない場合は、ファイルシステムのパーミッションを制限するなどの回避策を検討してください。
現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、今後悪用される可能性はあります。
NVD (National Vulnerability Database) や CISA (Cybersecurity and Infrastructure Security Agency) のウェブサイトで、この脆弱性に関する最新情報を確認できます。
Cargo.lock ファイルをアップロードすると、影響の有無を即座にお知らせします。