English version →
ログイン 新規登録
JA · EN · FR
SecPulse
カテゴリ
CVE-2026-85747 medium CVSS 6.8

github.com/docker/distribution の脆弱性 (CVE-2026-85747)

概要

github.com/docker/distribution に 脆弱性 (CVE-2026-85747) が存在。データの不正な改ざんを許す可能性があります。GET /v2/{name}/manifests/{digest} 経由で攻撃可能。対策: 3.1.2 以上に更新。

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Summary

registry/client.(*manifests).Get(ctx, dgst, …) fetches a manifest by digest but never hashes the returned body and compares it against the requested digest. A malicious or compromised registry, or any MITM on the registry connection, can serve arbitrary manifest bytes in response to a digest-pinned request and the client returns the substituted content transparently to the caller. Any application relying on digest pinning for supply-chain integrity — image policy controllers, mirrors, pull-through caches — is silently undermined. The bundled pull-through proxy (registry/proxy/proxymanifeststore.go) is itself an unguarded consumer and is directly exploitable.

Details

Root cause: registry/client/repository.go:488-505 reads the response body and passes it directly to distribution.UnmarshalManifest without ever computing digest.FromBytes(body) and comparing against the caller-supplied dgst. The Docker-Content-Digest response header is parsed (lines 251-292 in descriptorFromResponse) only to populate an out-parameter (ReturnContentDigest) and is itself server-supplied — it is never recomputed from the body, so a lying server can set it to whatever value the caller requested while delivering different bytes.

Attack path: An attacker who controls the registry endpoint (malicious registry, compromised upstream, DNS hijack, or TLS MITM) responds to GET /v2/{name}/manifests/{digest} with:

  1. Docker-Content-Digest: (forged header)
  2. A…

出典: NIST National Vulnerability Database NVD GitHub Advisory

自動生成の要約

取得元のデータ (CVSS・CWE・影響バージョンなど) から SecPulse が定型文で組み立てた要約です。AI は使っていません。正確な内容は下の原文と参照URLで確認してください。

github.com/docker/distribution という製品で、CVE-2026-85747 という番号がついた弱点 (脆弱性) が見つかりました。
悪い人がインターネット越しに GET /v2/{name}/manifests/{digest} のような特定の入り口を狙うことで、製品の中を不正に操作できてしまいます。
データの不正な改ざんを許す可能性があります。重要度は CVSS スコア 6.8/10 です。
対策: github.com/docker/distribution を 3.1.2 以上に更新してください。
心配なら、システム担当者や製品の公式サイトで「github.com/docker/distribution CVE-2026-85747」を検索してください。

CVE-2026-85747 (github.com/docker/distribution) — CWE-354 / CVSS v3 6.8
攻撃ベクター: ネットワーク経由 (リモート攻撃可) / 認証不要 / 被害者操作不要
脆弱箇所: GET /v2/{name}/manifests/{digest} / distribution.UnmarshalManifest / dgst / descriptorFromResponse
修正バージョン: 3.1.2 (即時適用推奨)
対応方針: 1) SBOMで影響バージョン横断確認, 2) ステージング検証→本番更新, 3) WAF/プロキシで該当エンドポイントを監視, 4) ログでIOC調査。
参考: 当ページの『参照URL』の GHSA / vendor advisory / patched release を参照。

❓ 何が問題か

github.com/docker/distribution に 脆弱性 (CWE-354) があります。攻撃者は GET /v2/{name}/manifests/{digest} を経由して脆弱な処理に到達し、認証なしで悪用できます。

📍 影響範囲

github.com/docker/distribution の影響バージョンはベンダーのアドバイザリで確認してください。攻撃箇所: GET /v2/{name}/manifests/{digest} / distribution.UnmarshalManifest / dgst / descriptorFromResponse。

🔥 重要度

重要度: 中 (CVSS 6.8/10)。データの不正な改ざんを許す可能性があります。

🔧 修正方法

3.1.2 に更新してください。

🛡️ 暫定回避

修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。

🔍 検知方法

Webサーバ・プロキシ・WAFのアクセスログで GET /v2/{name}/manifests/{digest} への異常リクエスト (不正な認証ヘッダ、SQL構文)を検索。 依存ファイル (package-lock.json/requirements.txt/go.sum) で github.com/docker/distribution のバージョンを横断確認。

対応アクション

SOC/SREチームが順番に実行すべき具体的なステップとコマンド例

  1. 1
    影響範囲の特定 identify 
    grep -r 'github.com/docker/distribution' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で github.com/docker/distribution を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    ログでの侵入兆候検索 detect 
    grep 'GET /v2/{name}/manifests/{digest}' /var/log/nginx/access.log | grep -E '(unusual_payload|sqli_pattern)'

    アクセスログで GET /v2/{name}/manifests/{digest} への異常なリクエスト (不正な認証ヘッダ・SQLメタ文字)を過去 30〜90日分捜索。WAF/SIEM があれば該当パスのアラート発火履歴を確認。

  3. 3
    パッチ適用 patch 
    Upgrade github.com/docker/distribution to 3.1.2

    ステージング環境で 3.1.2 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスと、Step 2 で見つけた異常検知の続報チェックを含めること。

  4. 4
    事後検証 verify 
    Replay attack against GET /v2/{name}/manifests/{digest} on staging to confirm patch closes the vector

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 2 と同じログクエリでアラート再発が無いか継続監視。

影響パッケージ

go github.com/docker/distribution
[{"type":"ECOSYSTEM","events":[{"introduced":"0"}]}]
go github.com/distribution/distribution/v3
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"3.1.2"}]}]

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく