プラットフォーム
docker
コンポーネント
docker
修正版
0.28.2
0.28.1
CVE-2026-33748は、docker BuildKitにおけるGit URLのフラグメントのサブディレクトリコンポーネントの検証不備に起因する脆弱性です。これにより、チェックアウトされたGitリポジトリのルート外のファイルへのアクセスが可能になる可能性があります。影響を受けるのは0.28.1より前のバージョンです。この問題はバージョン0.28.1で修正されました。
DockerのCVE-2026-33748は、Git URLフラグメントのサブディレクトリコンポーネント（<url>#<ref>:<subdir>、[docs](https://docs.docker.com/build/concepts/context/#url-fragments)）の検証不備に関係します。これにより、チェックアウトされたGitリポジトリのルート外のファイルへのアクセスが可能になる可能性があります。アクセスは、同じマウントされたファイルシステム上のファイルに限定されます。攻撃者は、Dockerfileで使用されるGit URLを制御できる場合、この脆弱性を悪用して機密情報を読み取る可能性があります。この脆弱性は、Dockerビルドで使用するコードのソースを慎重に制御することの重要性を示しています。
エクスプロイトには、Dockerfileで使用されるGit URLを制御する必要があります。これは、Dockerfileが外部の信頼できないGitリポジトリを使用している場合、または悪意のある攻撃者がDockerfileを変更できる場合に発生する可能性があります。サブディレクトリフラグメント付きの悪意のあるGit URLを作成することで、攻撃者はビルドプロセス中に意図されたリポジトリ外のファイルにアクセスできる可能性があります。エクスプロイトの成功は、攻撃者がビルドコンテキストとマウントされたファイルシステムの権限に影響を与える能力に依存します。
エクスプロイト状況
EPSS
0.02% (6% パーセンタイル)
CISA SSVC
この問題の解決策は、Dockerをバージョン0.28.1以降に更新することです。直ちにアップグレードできない場合は、信頼できないソースからソースを使用している場合、特にDockerfileでサブディレクトリコンポーネント付きのGit URLの使用を避けてください。安全なコーディングプラクティスを遵守していることを確認するために、Dockerfileを定期的に確認および監査します。この脆弱性の潜在的な影響をさらに軽減するために、より厳格なアクセス制御とビルド環境の分離を実装することを検討してください。
Actualice BuildKit a la versión 0.28.1 o posterior. Evite construir Dockerfiles desde fuentes no confiables o usar el componente subdir de un repositorio Git no confiable donde el componente subdir podría apuntar a un enlace simbólico.
脆弱性分析と重要アラートをメールでお届けします。
Git URLフラグメントは、Dockerfileで使用する際にGitリポジトリ内のサブディレクトリまたは特定の参照を指定するメカニズムです。形式は<url>#<ref>:<subdir>です。
Dockerを使用しており、Dockerfileでサブディレクトリ付きのGit URLを使用している場合は、影響を受ける可能性があります。Dockerのバージョンを確認し、0.28.1以降に更新してください。
これは、Dockerビルドプロセスが実行されているファイルシステムを指します。アクセスは、そのファイルシステム内のファイルに限定されます。
現在、これに特化した特定の自動化されたツールはありません。現時点では、Dockerfileを手動で確認するのが最良のアプローチです。
影響を受けたシステムを隔離し、Dockerとシステムログを調べて疑わしい活動がないか確認し、クリーンなバックアップから復元することを検討してください。
Dockerfile ファイルをアップロードすると、影響の有無を即座にお知らせします。