概要
AIコーディングエージェントなどの隔離実行環境として使われるDocker SandboxesのmacOS版に、サンドボックス境界を突破してホストファイルシステムへ不正アクセスできる重大な脆弱性が発見された。中心となるCVE-2026-77179はCVSSスコア9.4(Critical)と評価され、悪意あるゲストコードがサンドボックス外の任意のホストファイルを読み書きできる恐れがある。影響を受けるのはバージョン0.28.0から0.41.9で、9月7日リリースのv0.42.0で修正済みとなっている。
技術的詳細
CVE-2026-77179は、ゲストとホスト間のファイル共有を担うvirtio-fsホストサーバーの実装欠陥に起因する。削除されたファイルを再度開く際にシンボリックリンクを追跡してしまう挙動があり、攻撃者はサンドボックス内のプロジェクトディレクトリの親ディレクトリをシンボリックリンクに置き換えることで、本来アクセスできないプロジェクト外のホストファイルへ到達できてしまう。あわせて、CVSSスコア8.7(High)のCVE-2026-79994も公表されており、こちらはバージョン0.37.0から0.41.9に影響する。Unixドメインソケットのリレー機構におけるパス検証と実際の接続確立との間にタイミングウィンドウが存在し、この隙を突いたシンボリックリンク置換攻撃によって認可されていないソケットへのアクセスが可能になるというものだ。いずれも、正規のシンボリックリンク解決処理を悪用してサンドボックスの境界チェックを回避する点で共通している。
発見と対応、今後の影響
CVE-2026-77179はaccomplish.aiのOren Yomtov氏、CVE-2026-79994はThreatNotifyのJurre van Bergen氏がそれぞれ発見・報告した。Dockerは修正版v0.42.0のリリース(9月7日)から8日後の9月15日に脆弱性情報を公開している。報告を受けてから修正・公表までの具体的な猶予期間は記事内では明示されていない。現時点で実際の悪用報告は確認されていない。
Docker Sandboxesは、AIコーディングエージェントに安全な実行環境を提供する目的で設計された機能であり、今回の脆弱性はその前提そのものを揺るがすものだ。特に、マルウェアやプロンプトインジェクション攻撃によってエージェントが意図せず悪意あるコードを実行してしまうシナリオでは、サンドボックスの隔離が破られホスト環境が侵害されるリスクが現実的な脅威として浮上する。AIエージェントの実行基盤として同様のサンドボックス技術を採用している開発者は、速やかにv0.42.0以降へのアップデートを検討すべきだろう。