概要
Ubuntu搭載のLinuxカーネルに存在するAF_UNIXソケット関連のuse-after-free脆弱性(CVE-2026-80521、CVSS 7.8)を悪用し、DockerやKubernetesのコンテナからホストのroot権限を奪取できる公開エクスプロイトが登場した。セキュリティ研究グループDepthFirstが9月22日にエクスプロイトコードを公開したが、Ubuntu側のパッチはまだ提供されておらず、AWS・Azure・GCPなど主要クラウド上で稼働するワークロードにも影響が及ぶ可能性がある。
技術的な詳細
脆弱性は、ローカルプロセス間通信を管理するAF_UNIXソケットのカーネル側ガベージコレクション機構に存在する。レースコンディションにより、ガベージコレクターがソケット参照を解放した後もそのポインタがカーネル内部の永続リストに残ってしまうことがあり、後続の回収処理がこの解放済みメモリを指す古いポインタをたどることで、悪用可能な状態(use-after-free)が生じる。影響を受けるのはUbuntu 26.04、24.04、22.04の各LTSで、カーネル6.1系、6.6系、および6.10以降のバージョンが対象となる。DockerやKubernetesの既定のseccompプロファイルはAF_UNIXソケットへのアクセスを許可しているため、通常の権限のコンテナ内からでも攻撃コードを実行できる点が問題を深刻にしている。
修正状況と対応
上流のLinuxカーネルでは8月6日にすでに修正が取り込まれ、カーネル7.1.10および7.2で対応済みとなっている。一方でUbuntuのセキュリティトラッカー上のステータスは「vulnerable, work in progress」のままで、9月27日時点でも公式パッチは未提供の状態が続く。現時点でCISAの既知の悪用済み脆弱性(KEV)カタログには掲載されておらず、実際の攻撃への悪用が確認された報告もないが、公開エクスプロイトが出回ったことで悪用のハードルは大きく下がったといえる。
なお、この脆弱性はAI支援による脆弱性検出によって発見された経緯があり、OpenAIの研究者による独立した発見とも重なっていたという。機械学習を活用した脆弱性研究の進展が、コンテナエスケープのリスク発見を加速させている一例として注目される。
影響と対策
パッチが未提供の間、クラウド上でマルチテナントのコンテナワークロードを運用する事業者にとっては、ホストroot権限を奪われるリスクが現実的な脅威となる。対策としては、影響を受けるカーネルに上流の修正パッチを直接適用すること、または信頼できないワークロードをFirecrackerやKata ContainersなどのマイクロVM分離に移行することが挙げられる。DepthFirstとUbuntuのいずれも暫定的な回避策は公開していない。Ubuntu側の修正版が提供されるまでは、コンテナの信頼境界を過度に信用しない運用が求められる。