情報取得日: 2026/07/16／最終確認: 2026/08/10・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-44182 |
|---|---|
| 製品 | Project Jupyter / Jupyter Enterprise Gateway |
| CVSS | 10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| 種別 (CWE) | CWE-74 下流コンポーネントへ渡す特殊要素の不適切な無害化（インジェクション） |
| 登録／公開日 | 2026/07/16 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-44182 |
同じ Jupyter Enterprise Gateway の 3.3.0 未満に、CVE-2026-44181 とは別経路の欠陥がある。NVD の記述によれば、サーバは信頼できない環境変数（KERNEL_ で始まるもの）を Kubernetes マニフェストへ、YAML を意識したエスケープをせずに埋め込む。このため YAML インジェクションが成立する。攻撃者は新しいフィールドを差し込む、重要なフィールドを上書きする（例: securityContext のキーを重複させる。YAML では最後のものが優先される）、ドキュメント境界を差し込む（--- で新しいドキュメント、... で終端）といった操作ができ、結果として複数のリソースを生成できる。特権 Pod のような任意の種類のリソースを作られる可能性がある。Kubernetes マニフェストの Jinja2 テンプレートには kernel_working_dir をはじめ複数の kernel_ 変数があり、いずれも注入経路になる。CVSS 3.1 基本値は 10.0（Critical）で、ベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。修正は 3.3.0 で行われた。2026年8月14日時点で CISA KEV カタログには収載されていない。NVD の vulnStatus は Analyzed。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
Jupyter Enterprise Gateway を 3.3.0 以上へ更新してイメージを再デプロイする
EKS では Pod Security Standards の restricted を適用しておくと、注入が通っても特権 Pod の作成は止まる（多層防御）。AWS 側からの修正提供はない。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Jupyter Enterprise Gateway を 3.3.0 以上へ更新してイメージを再デプロイする
GKE では Pod Security Admission または Policy Controller で privileged と hostPath を禁止しておく。GCP 固有の修正提供はない。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Jupyter Enterprise Gateway を 3.3.0 以上へ更新してイメージを再デプロイする
AKS では Azure Policy for Kubernetes の特権コンテナ拒否を有効にしておく。Azure 固有の修正提供はない。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
pip で jupyter_enterprise_gateway を 3.3.0 以上へ上げる
ディストリのパッケージ管理の対象外。CVE-2026-44181 と同じ更新で両方直る。
参照リンク
|
対応は CVE-2026-44181 と同じ 3.3.0 以上への更新で、同時に直る。分けて考える必要があるのは緩和策のほうである。44181 はテンプレート式（{{ }}）の混入が入口だが、こちらは YAML の構文（改行、インデント、--- や ... の境界、キーの重複）が入口なので、テンプレート式だけを弾くフィルタでは止まらない。すぐに更新できない場合は、KERNEL_ 環境変数の値に改行と : と - を許可しない検証を前段に置く。ただし YAML の表現力は広く、フィルタで完全に閉じるのは難しいので、あくまで更新までのつなぎとする。侵害の確認では、Gateway のサービスアカウントが作成した Pod を一覧し、想定していないリソース種別が混ざっていないか、securityContext.privileged が true の Pod や hostPath ボリュームを持つ Pod が無いかを見る。YAML インジェクションは「1回のカーネル起動要求で複数リソースが生えている」という形で痕跡が残るため、作成タイムスタンプが同一のリソース群を探すのが早い。
Critical（CVSS 10.0）に分類されるProject Jupyter Jupyter Enterprise Gatewayの脆弱性です。同じ Jupyter Enterprise Gateway の 3.3.0 未満に、CVE-2026-44181 とは別経路の欠陥がある。NVD の記述によれば、サーバは信頼できない環境変数（KERNEL_ で始まるもの）を Kubernetes マニフェストへ、YAML を意識したエスケープをせずに埋め込む。このため YAML インジェクションが成立する。攻撃者は新しいフィールドを差し込む、重要なフィールドを上書きする（例: securityContext のキーを重複させる。YAML では最後のものが優先される）、ドキュメント境界を差し込む（--- で新しいドキュメント、... で終端）といった操作ができ、結果として複数のリソースを生成できる。特権 Pod のような任意の種類のリソースを作られる可能性がある。Kubernetes マニフェストの Jinja2 テンプレートには kernel_working_dir をはじめ複数の kernel_ 変数があり、いずれも注入経路になる。CVSS 3.1 基本値は 10.0（Critical）で、ベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H。修正は 3.3.0 で行われた。2026年8月14日時点で CISA KEV カタログには収載されていない。NVD の vulnStatus は Analyzed。
対応は CVE-2026-44181 と同じ 3.3.0 以上への更新で、同時に直る。分けて考える必要があるのは緩和策のほうである。44181 はテンプレート式（{{ }}）の混入が入口だが、こちらは YAML の構文（改行、インデント、--- や ... の境界、キーの重複）が入口なので、テンプレート式だけを弾くフィルタでは止まらない。すぐに更新できない場合は、KERNEL_ 環境変数の値に改行と : と - を許可しない検証を前段に置く。ただし YAML の表現力は広く、フィルタで完全に閉じるのは難しいので、あくまで更新までのつなぎとする。侵害の確認では、Gateway のサービスアカウントが作成した Pod を一覧し、想定していないリソース種別が混ざっていないか、securityContext.privileged が true の Pod や hostPath ボリュームを持つ Pod が無いかを見る。YAML インジェクションは「1回のカーネル起動要求で複数リソースが生えている」という形で痕跡が残るため、作成タイムスタンプが同一のリソース群を探すのが早い。
Project Jupyter Jupyter Enterprise Gateway を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-44182）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/10）。