Jupyter Enterprise Gatewayに重大脆弱性3件 CVSS10.0

Jupyter Enterprise Gatewayに重大脆弱性3件 CVSS10.0 脆弱性・脅威情報

【更新 2026-08-09】本記事を見直し、修正しました。主な修正点：脆弱性の公表時系列を一次情報に合わせて訂正（開発元は2026年6月1日に修正版3.3.0を公開、6月3日にGitHub Security Advisoryで公表。2026年7月16日はNVDでの公表日）／IPA参考リンクの紹介文をリンク先の内容に合わせて修正。

Jupyter Enterprise Gatewayに、未認証の攻撃者がKubernetesクラスタ全体を乗っ取る可能性がある3件の重大脆弱性が公表されました。最大CVSS 10.0の脆弱性も含まれ、社内のデータ分析基盤やML基盤で同製品を利用している場合は、至急バージョン3.3.0への更新を検討してください。

この記事でわかること

  • Jupyter Enterprise Gatewayの3件の脆弱性の概要と影響範囲
  • 各脆弱性の仕組みと想定される攻撃シナリオ
  • 自社環境での影響確認ポイントと優先度判断の材料
  • 修正版への更新手順と暫定対策

何が起きたのか

Project JupyterのJupyter Enterprise Gatewayに、3件の脆弱性が公表されました。開発元は2026年6月1日（UTC、以下同じ）に修正版となるバージョン3.3.0を公開し、6月3日にGitHub Security Advisory（GHSA）としてこの3件を公表しています。CVE番号がNVDで公表されたのは2026年7月16日、JVNDBへの登録は2026年8月6日です。修正版の公開からすでに2か月以上が経過している点に注意してください。いずれも深刻度が高く、特に2件はCVSS 3.1基本値10.0（重大）に評価されています。

CVE番号 脆弱性の種類 CVSS v3 影響バージョン
CVE-2026-44180 UID/GID制限のバイパス 9.8（重大） 2.0.0rc1以上3.3.0未満
CVE-2026-44181 サーバーサイドテンプレートインジェクション（SSTI） 10.0（重大） 2.0.0rc2以上3.3.0未満
CVE-2026-44182 YAMLインジェクション 10.0（重大） 3.3.0未満

修正版はバージョン3.3.0です（2026年6月1日公開）。

なお、JVNDB-2026-027131（CVE-2026-44180）の概要には「この問題はバージョン3.0.0で修正されています」と記載されていますが、同ページの「影響を受けるシステム」は3.3.0未満とされており、上流のアドバイザリも修正版を3.3.0としています。JVNDB側の記載に揺れがあるとみられるため、対応の判断は3.3.0を基準にしてください。二次情報だけで版数を決めない、という一例です。

各脆弱性の詳細

CVE-2026-44181：SSTIによるリモートコード実行（CVSS 10.0）

Enterprise Gatewayは、Kubernetesマニフェストのレンダリング時にJinja2テンプレートエンジンを使用しています。バージョン2.0.0rc2から3.3.0未満では、環境変数（KERNEL_XXX）にJinja2のテンプレート式を含めることができ、これによりEnterprise Gatewayサービス内でPythonコードやOSコマンドが実行可能でした。

このコード実行を悪用すると、Kubernetesのサービスアカウントトークンの盗用、シークレットの窃取、さらには特権付きポッドやhostPathボリュームマウントを持つポッドのスケジューリングが可能となり、Kubernetesクラスター全体を完全に乗っ取ることができます。

CVE-2026-44182：YAMLインジェクション（CVSS 10.0）

バージョン3.3.0未満では、サーバーが信頼されていない環境変数（KERNEL_XXX）をKubernetesマニフェストにYAML対応のエスケープ処理をせずに挿入していました。

攻撃者はこれを悪用して、新しいフィールドの注入、重要フィールド（securityContextなど）の上書き、ドキュメント区切り（—や…）の注入による複数リソースの生成が可能で、特権付きポッドなど任意のタイプのリソースを作成できる可能性があります。

CVE-2026-44180：UID/GID制限のバイパス（CVSS 9.8）

バージョン2.0.0rc1以上3.3.0未満には、UIDまたはGIDが0（root）でカーネルを起動することをデフォルトで禁止する機能がありましたが、特別に細工されたKERNEL_UIDまたはKERNEL_GID値を使用することでこの制限を回避できました。

これによりJupyterカーネルをrootとして実行でき、コンテナエスケープが発生し、ワーカーノードおよびその上で稼働するすべてのワークロードが危険にさらされます。繰り返し悪用されると、Kubernetesクラスタ全体が麻痺する可能性があります。

影響を受ける環境

以下の環境でJupyter Enterprise Gatewayを使用している場合、影響を受ける可能性があります。

  • Apache Spark、Kubernetes、Docker Swarmなどの分散クラスター上でJupyter Notebookカーネルを動かしている環境
  • Enterprise Gatewayのバージョンが3.3.0未満の環境（CVE-2026-44182はすべての3.3.0未満バージョンが対象）
  • 特に、ユーザーからの環境変数入力（KERNEL_XXX系）を受け付けている構成

なお、Jupyter Notebook単体やJupyterHubとは異なり、Enterprise Gatewayは企業の大規模なデータ分析基盤やML基盤で利用されることが多いため、影響範囲が広くなる傾向があります。

想定されるリスク

これらの脆弱性が悪用された場合、以下のリスクが考えられます。

  • クラスター全体の乗っ取り：Kubernetesクラスター内のすべてのワークロード、シークレット、設定情報への不正アクセス
  • データの漏洩・改ざん：機密データの窃取、分析結果の改ざん、モデルの不正操作
  • 横展開からの社内侵入：クラスター内から社内ネットワークへの横展開、他システムへの攻撃足がかり
  • サービス停止：ワーカーノードの麻痺、業務システムの停止

いずれの脆弱性も認証不要でネットワーク経由から攻撃可能であり、攻撃条件は「低」と評価されています。

情シスはどうすべきか

1. 至急バージョン3.3.0への更新

ベンダー情報によると、3件の脆弱性はすべてバージョン3.3.0で修正されています。利用環境でのバージョンを確認し、3.3.0未満であれば至急更新を実施してください。

3.3.0での主な修正内容：

  • CVE-2026-44180：より厳格なUID/GID検証の追加
  • CVE-2026-44181：KERNEL_POD_NAMEのSSTI修正
  • CVE-2026-44182：KERNEL_*環境変数のYAMLインジェクション修正

2. 暫定対策（更新までの間）

即座の更新が難しい場合、以下の暫定対策を検討してください。

  • Enterprise Gatewayへのアクセスを信頼できるネットワークのみに制限
  • ユーザーからのKERNEL_XXX系環境変数の入力を制限・監査
  • KubernetesクラスターでのPodセキュリティポリシーまたはPodセキュリティ標準の適用

3. 侵害痕跡の確認

過去に不正アクセスがなかったか、以下の観点でログを確認してください。

  • Enterprise Gatewayの環境変数に不自然なJinja2テンプレート式やYAML構文が含まれていないか
  • root権限で起動されたカーネルがないか
  • 通常と異なるPodの作成・削除の記録がないか

現場目線の所感

Jupyter Enterprise Gatewayは、データサイエンスチームやMLエンジニアからの要望で「とりあえず動かしてみよう」と導入され、セキュリティの目が行き届かないまま運用されているケースが少なくありません。特にKubernetes上での動作は「コンテナだから隔離されている」と安易に考えがちですが、今回の脆弱性はその前提を覆すものです。

CVE-2026-44181のSSTIは、テンプレートエンジンにユーザー入力を渡す設計自体が危うい典型例です。開発者側の「便利さ」を優先した結果、攻撃者にとっては「コード実行の入り口」になってしまいました。現場としては、データ分析基盤の導入時にセキュリティレビューを挟む体制がない、あるいは挟んでも専門知識が不足しているという課題を改めて実感します。

また、CVE-2026-44180のUID/GIDバイパスは「制限機能があるから安心」という思い込みが招いた盲点です。セキュリティ機能があっても、その実装に不備があれば意味がありません。データ分析基盤の運用では、セキュリティ設定の「あるなし」だけでなく、「正しく機能しているか」の検証も必要だと痛感します。

関連情報・公的指針

なお、以下のIPA公式リソースはコンテナやKubernetes固有の対策を扱うものではありませんが、インシデント発生時の対応や組織全体のセキュリティ対策の基本を確認する際の参考になります。

また、コンテナセキュリティ全般については、NVIDIA Dynamoに15件脆弱性。社内LLM基盤の確認急げや、Linux権限昇格『Copy Fail』CVE-2026-31431とはも併せてご確認ください。Kubernetes環境での権限昇格やコンテナエスケープのリスクは、今回の脆弱性と共通する側面があります。

まとめ

  • Jupyter Enterprise Gatewayに3件の重大脆弱性（CVE-2026-44180/44181/44182）が公表され、最大CVSS 10.0。未認証でKubernetesクラスタ全体を乗っ取られる可能性がある
  • 影響を受けるのはバージョン3.3.0未満。修正版3.3.0が公開済みであり、至急更新が必要
  • データ分析基盤やML基盤のセキュリティは「動けばいい」で終わらせず、入力検証・権限制御・テンプレート処理の安全性を定期的に見直す体制が重要

出典

タイトルとURLをコピーしました