docker にコードインジェクション(CVE-2026-42298・CVSS 10.0)

概要

docker にコードインジェクション (CVE-2026-42298) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。GITHUB_TOKEN 経由で攻撃可能。対策: >= 0 以上に更新。

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Postiz is an AI social media scheduling tool. Prior to commit da44801, a "Pwn Request" vulnerability in the Build and Publish PR Docker Image workflow (.github/workflows/pr-docker-build.yml) allows any unauthenticated user to execute arbitrary code during the Docker build process and exfiltrate a highly privileged GITHUB_TOKEN (write-all permissions). This can be achieved simply by opening a Pull Request from a fork with a maliciously modified Dockerfile.dev. This issue has been patched via commit da44801.

出典: NIST National Vulnerability Database NVD

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

Postizというツールの一部に脆弱性が見つかり、攻撃者がソースコードを自由に操作できるリスクがありました。この問題は最新の更新で修正されました。この類の問題は以前にも発生しており、特定の操作をするだけで攻撃が可能になるものです。自社システムを利用している方は、早急な対応が求められます。

Postizツールにおける「.github/workflows/pr-docker-build.yml」の脆弱性は、未認証のユーザーがリポジトリのフォークから悪意のあるDockerfile.devを用いてプルリクエストを作成することで、Dockerビルドプロセス中に任意のコードを実行可能かつ高権限のGITHUB_TOKENを外部に持ち出せるという問題です。この脆弱性はコミット「da44801」により修正されました。

❓ 何が問題か

docker に 任意コード実行 (CWE-94) があります。攻撃者は GITHUB_TOKEN を経由して脆弱な処理に到達し、認証なしで悪用できます。

📍 影響範囲

docker のうち影響範囲: >= 0。攻撃箇所: GITHUB_TOKEN / Dockerfile.dev。

🔥 重要度

重要度: 最重要 (CVSS 10.0/10)。悪用されるとシステム全体を乗っ取られる可能性があります

🔧 修正方法

>= 0 に更新してください。(修正前: >= 0 該当バージョンが本番稼働中なら直ちに更新計画を立案)

🛡️ 暫定回避

修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。

🔍 検知方法

Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。

類似する過去の事例過去のCVE/インシデントから類似事例を抽出

CVE-2021-44228

Log4Shell: Similar RCE allowing code execution and access through malicious requests.

もし自社で起きたら業務シナリオごとの想定影響

📌 ECサイトの場合

攻撃者は全てのソースコードにアクセスし、改ざんやデータ漏洩を引き起こせる。

📌 社内システムの場合

内部システムの信頼性が失墜し、業務継続に影響が出る。

📌 クラウドを利用したSaaS

サービス停止やデータの不正利用に繋がる可能性がある。

推奨アクション

直ちにコミットda44801を含む更新バージョンにアップデートし、セキュリティ監査を行うことが推奨されます。

対応アクション

SOC/SREチームが順番に実行すべき具体的なステップとコマンド例

1
影響範囲の特定 identify
```
grep -r 'docker' . | grep -v node_modules
```
リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で docker を grep し、稼働しているサービス・バージョンを把握する。
2
バージョン照合 verify
```
Confirm if version satisfies `>= 0`
```
Step 1 で見つかったバージョンが影響範囲 >= 0 に該当するか照合。本番で稼働中ならインシデント扱い。
6
パッチ適用 patch
```
Upgrade docker to >= 0
```
ステージング環境で >= 0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスと、Step 3 で見つけた異常検知の続報チェックを含めること。
7
事後検証 verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。

参照URL

patch security-advisories@github.com
web security-advisories@github.com

概要