Beta9の3件はCritical―CVE-2026-120306など、workerとgatewayの更新を確認
テナントのビルド・ファイルAPI・ボリュームから隔離を越える問題。修正は9月公開済みで、今回CVEが登録されました。
CVE登録日（日本時間。修正公開日とは異なります）：2026-11-01 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
JFrogは日本時間2026年11月1日21時49〜51分、Beta9の3件の脆弱性を登録しました。CVE-2026-120306・120307・120308はいずれもCVSS v3.1で9.9、Critical（緊急）です。ワークスペースのトークンを持つテナントが、隔離の外にあるworkerのファイルへ到達できる問題です。
CVE-2026-120306は、イメージのビルドをchrootだけで隔離し、workerとプロセス・通信などの名前空間を共有していた問題です。CVE-2026-120307は、サンドボックスのファイルAPIが親ディレクトリやシンボリックリンクの解決を適切に閉じ込めず、worker側のファイルを読み書きできる問題です。どちらもworker 0.1.756未満が対象です。
CVE-2026-120308では、ボリュームIDのパスと所有権の検証が不足し、workerのファイルシステムをサンドボックスへマウントできるおそれがあります。対象はgateway 0.1.776未満とworker 0.1.756未満です。他テナントのデータも影響し得ますが、確認された実証と実際の被害報告は区別する必要があります。
修正は2026年9月15日に公開されています。ビルドのOCI隔離、ファイル操作のルート制限、ボリュームの所有権・パス検査が追加されました。利用者はworkerを0.1.756以上、gatewayを0.1.776以上へ更新してください。gatewayだけの更新では、worker内の隔離処理まで修正されたことにはなりません。
出典と編集について
JFrog（CNA）：CVE-2026-120306公式レコード ↗本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。