Docker Engine 29.9.3は11月3日に公開された。リリースノートは、Engineと関連コンポーネントの複数の脆弱性修正をセキュリティ欄にまとめている。パッチ版だが、内容は単一の不具合修正ではない。
Engine側は3件ある。CVE-2026-116587は、細工したRSA鍵の解析でCPUを過剰に使い得る問題。CVE-2026-116591は、zstdデータの展開でパニックし得る問題。CVE-2026-115538は、firewalldがDockerのiptables規則を流したあと、Swarmのオーバーレイネットワークで暗号化と、なりすまし防止が欠ける問題である。Swarmをfirewalldと併用しているノードは、イメージを上げたあと、規則が再び流されていないかも見る必要がある。
SwarmKitのCVE-2026-115539は、有効なワーカーノードのTLS証明書と秘密鍵を持つ攻撃者が、Swarmのリーダー交代の直後にマネージャーノードの証明書を得られる、というものだ。ワーカーを信頼境界にしているクラスタでは、マネージャー操作がその境界の外へ出る。証明書を持たない外部からの話ではない。
BuildKitは0.34.2へ更新される。同じGitソース参照のメタデータを1つのビルドで2回解決すると、リゾルバのキャッシュ汚染でデーモンが落ち得た。BuildKitの制御APIに届く悪意あるクライアントは、状態ディレクトリの外のファイルへ拡張属性を設定でき、ホスト上のプログラムへ高い権限を与え得る。ビルドを外部に開いている場合は、Engineの版だけでなく、誰が制御APIへ届くかを確認する。
同じノートには、負荷時にコンテナ、イメージ、システムAPIでデーモンが固まる不具合の修正もある。Swarmを使っていなくても、RSA鍵の解析、zstd、BuildKitの経路は通常のビルドとプルに関わる。29.9.2の証明書拒否とは別件なので、止まっている版を番号で確認する。