JVNDB-2026-017801

Portainer.ioのPortainerにおける複数の脆弱性

Portainer Community Editionは、Docker、Swarm、Kubernetes、およびACI環境を管理するために使用できるコンテナ化アプリケーション向けの軽量なサービス配信プラットフォームです。バージョン2.33.0から2.33.8未満、2.39.2、および2.41.0までのPortainerは、Gitリポジトリからスタックをデプロイすることをサポートしています。Gitバックのスタックが作成または更新されると、Portainerはgo-git v5を使用してリポジトリをクローンしますが、この際、モード0o120000（シンボリックリンク）のGitブロブエントリを、os.Symlinkを介してホストファイルシステム上の実際のOSシンボリックリンクに変換します。.gitmodulesだけがシンボリックリンクになることをブロックされますが、他のすべてのパスは検証なしにシンボリックリンクとして作成されます。PortainerのGET /api/stacks/{id}/fileエンドポイントはその後、os.ReadFileを使ってスタックのエントリポイントを読み取り、これはOSのシンボリックリンクを透過的に辿ります。docker-compose.ymlを任意のファイルシステムパスへのシンボリックリンクとして含むリポジトリは、そのシンボリックリンクのターゲットの内容がHTTPレスポンスでそのまま返される原因となります。Gitバックのスタックを作成または更新する権限を持つ認証済みユーザー（Portainer CEのデフォルト設定）は、Portainerプロセスがアクセス可能な任意のファイルを読み取ることができます。この脆弱性はバージョン2.33.8、2.39.2、および2.41.0で修正されています。

Portainer.io

• Portainer 2.33.0 以上 2.33.8 未満
• Portainer 2.34.0 以上 2.39.2 未満
• Portainer 2.40.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Arbitrary File Read via Git Symlink Injection in Stack Auto-Update  Advisory  portainer/portainer  GitHub

1. 情報漏えい(CWE-200) [その他]
2. リンク解釈の問題(CWE-59) [その他]

1. CVE-2026-44881

1. National Vulnerability Database (NVD) : CVE-2026-44881

• [2026年06月04日]
    掲載