Kubernetesの主要なコンポーネントであるIngress-Nginxにおいて、設定インジェクションの脆弱性CVE-2026-4342が未だ多くのプロダクションクラスターに潜んでいることが、最新の調査で判明しました。この脆弱性はCVSSスコア8.8の高 severity で、リモートコード実行（RCE）の危険性をはらんでいます。さらに、CSI Driver for SMBにおいてもパス・トラバーサルの脆弱性CVE-2026-3865が確認されており、Kubernetesクラスタ全体のセキュリティが脅かされています。これらの脆弱性は、インターネットからクラスタ内部サービスへのトラフィックをルーティングするIngress-Nginxの重要性から、放置すれば深刻な被害に繋がる恐れがあります。
今すぐ行う対策
- ✓Kubernetes Ingress-Nginxを公式が提供する最新の修正版へ更新する。CVE-2026-4342に対する3月の修正が適用されていることを確認する。
- ✓Kubernetes CSI Driver for SMBのパッチが適用されたバージョンへ更新する。関連するRed Hatのアドバイザリを確認する。
- ✓クラスタおよび関連コンポーネントのセキュリティログを監視し、侵害の兆候がないか確認する。
脆弱性の概要と影響範囲
CVE-2026-4342は、Ingress-Nginxコントローラーにおける設定インジェクションのバグであり、攻撃者が設定を操作することで、最終的にリモートで任意のコードを実行できる可能性があります。この脆弱性は、すでに5ヶ月前に修正が提供されたにもかかわらず、多くの本番環境のクラスターで未だ適用されていない状態が続いています。Ingress-Nginxは世界のKubernetesクラスターの大部分でトラフィックをルーティングしているため、その影響は甚大です。
一方、CVE-2026-3865はKubernetesのCSI Driver for SMBに存在するパス・トラバーサルの脆弱性です。この脆弱性は、ドライバーがPersistentVolumeのハンドルから攻撃者が制御する`subDir`値を読み込み、検証なしにSMB共有上のファイルシステムパスを構築する際に発生します。これにより、PersistentVolumeを作成する権限を持つユーザーが意図しないディレクトリ外のファイルにアクセスまたは操作する可能性があります。
具体的な影響・攻撃シナリオ
CVE-2026-4342が悪用された場合、攻撃者はIngress-Nginxの設定を不正に操作し、悪意のある設定を注入することで、バックエンドサービスへの不正なアクセスや、クラスター内で任意のコマンドを実行することが可能になります。これにより、機密情報の窃取、サービス停止、さらにはクラスタ全体の乗っ取りといった深刻な被害に繋がる恐れがあります。この脆弱性は「依然としてプロダクションクラスターに潜んでいる」と指摘されており、実際に攻撃が観測されるリスクが高い状況です。
CVE-2026-3865の悪用シナリオとしては、攻撃者が特別に細工したPersistentVolumeを作成し、SMB共有上の任意のパスにあるファイルにアクセスしたり、上書きしたりする可能性があります。これにより、システム設定ファイルの改ざんや機密情報の漏洩、さらにはサービス妨害に繋がる危険性があります。
主要ディストリビューション別の影響
Kubernetes Ingress-Nginxは多くの主要なKubernetesディストリビューションで利用されているため、CVE-2026-4342の影響は広範囲に及びます。主要なクラウドプロバイダー（AWS EKS, Google GKE, Azure AKSなど）やオンプレミス環境のKubernetesクラスタにおいても、Ingress-Nginxが使用されている場合は、バージョンを確認し、速やかに対応する必要があります。Red HatはCVE-2026-3865に関連するアドバイザリを公開しており、特にRed Hat OpenShiftなどの環境では公式情報を参照したパッチ適用が求められます。
対応手順と確認方法
Ingress-Nginxの修正は、通常、公式のHelmチャートやKubernetesマニフェストを介して提供されます。ご使用のデプロイ方法に応じて、以下の手順で更新を確認してください。
# Ingress-Nginxのバージョンを確認
kubectl get deploy -n ingress-nginx ingress-nginx-controller -o=jsonpath='{.spec.template.spec.containers[0].image}'
# Helmを使用している場合、最新バージョンへのアップグレードを検討
helm repo update
helm upgrade ingress-nginx ingress-nginx/ingress-nginx --version <最新のセキュアなバージョン> -n ingress-nginxCSI Driver for SMBについても、お使いのKubernetesディストリビューションやクラウドプロバイダーが提供するドキュメントを参照し、最新のパッチが適用されていることを確認してください。Red Hatユーザーは、公式のアドバイザリを参照し、推奨されるアップデートを適用してください。
📦