github.com/docker/compose の OCI Artifact Layer 注釈を介したパス・トラバーサル脆弱性 (Path Traversal Vulnerability) - Docker Compose

この脆弱性は、攻撃者がDocker Compose環境内のファイルシステムを自由に探索することを可能にします。OCIアーティファクトレイヤー注釈を介して、攻撃者は本来アクセスできないファイルにアクセスし、機密情報を盗み出す可能性があります。例えば、設定ファイル、認証情報、ソースコードなどが危険にさらされる可能性があります。攻撃者は、この脆弱性を利用して、コンテナ内の他のサービスへのアクセス権を取得し、横展開攻撃を行う可能性も考えられます。この脆弱性の影響範囲は、Docker Composeを使用しているすべての環境に及ぶ可能性があります。

Organizations using Docker Compose in production environments, particularly those with sensitive data stored on the host system or within Docker containers, are at risk. Environments with less stringent file access controls are also more vulnerable. Developers using Docker Compose for local development should also apply the fix to prevent potential compromise.

• linux / server: Monitor Docker Compose logs for unusual file access attempts. Use journalctl -u docker-compose to filter for errors related to file access.

journalctl -u docker-compose | grep "file not found" -i

• go: Inspect Docker Compose source code for instances of os.Open or similar functions that handle file paths derived from user input. Look for potential path traversal vulnerabilities. • generic web: If Docker Compose is exposed via a web interface, monitor access logs for requests attempting to access files outside the intended directory.

1. 2025-10-30Disclosure

   disclosure

1. 予約済み2025-10-20
2. 公開日2025-10-30
3. 更新日2026-03-03
4. EPSS 更新日2026-03-23

この脆弱性への最善の対応は、github.com/docker/composeをバージョン2.40.2にアップデートすることです。アップデートが利用できない場合、一時的な緩和策として、OCIアーティファクトレイヤー注釈の利用を制限する設定を検討してください。また、WAFやプロキシサーバーを使用して、悪意のあるリクエストをブロックすることも有効です。Docker Composeの設定ファイルやコンテナログを定期的に監視し、異常なアクセスやファイル操作がないか確認することも重要です。