GitHubは2026年10月15日、Talos Linuxの診断資料に非公開レジストリの認証情報が残る脆弱性「CVE-2026-77564」の勧告を公開しました。対象環境で生成したsupport.zipをGitHubのIssueやSlack、公開フォーラムに投稿すると、認証情報が漏れるおそれがあります。利用企業は修正版の確認だけでなく、過去に共有した診断資料も点検する必要があります。
診断用のファイルに認証情報が残る
問題があるのは、診断資料を生成する「talosctl support」です。再現条件は、RegistryAuthConfigリソースがあるクラスタで診断資料を生成することです。ソフトウェアの保管先である非公開レジストリの認証情報が、資料内に残ります。
勧告が挙げる確認箇所は、resources/registryconfigs.cri.talos.dev.yamlのspec内にあるauthです。etcfilespecs.files.talos.dev.yamlにも同じ情報が残ります。資料を受け渡す際は、片方のファイルだけを確認して終えないことが重要です。
特に、レジストリが外部公開され、認証情報に書き込み権限がある場合は、影響が深刻になる可能性があります。勧告は、悪用によるサービス拒否やデータ損失に加え、既存タグの乗っ取りを通じたサプライチェーン侵害の可能性を挙げています。単に診断資料の閲覧範囲を確認するだけでなく、残っていた認証情報で何ができるかも調べる必要があります。
修正版の確認と暗号化は分けて考える
対象のGoモジュールはgithub.com/talos-systems/talosです。影響を受けるのは1.14.0-alpha.0.0.20260513110206-76080416beee未満で、修正版は同じ1.14.0-alpha.0.0.20260513110206-76080416beeeです。長い版番号のため、管理記録では省略せずに照合してください。
また、勧告によるとTalos 1.14以降は診断資料を既定で暗号化します。既定の受信者は、siderolabsのGitHub組織メンバーです。暗号化の受信者と、自社が診断資料を渡す相手が一致するかは、共有前の確認事項になります。
日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: 対象モジュールが修正版未満で、RegistryAuthConfigリソースがあるクラスタの診断資料を生成する会社です。
- 影響する: その環境のsupport.zipをGitHubのIssue、Slack、公開フォーラムに投稿した会社は、過去の共有分も確認対象です。外部公開レジストリへの書き込み権限がある場合は、優先して点検してください。
- 影響しない: 対象モジュールを修正版以上にしている環境は、勧告の影響対象範囲には入りません。ただし、更新前に生成・共有した資料は別に確認が必要です。
- 影響しない: RegistryAuthConfigリソースがないクラスタは、勧告に記載された再現条件には当たりません。他の条件での影響は発表には書かれていません。
情シスが今日やること
- 今日中に対象環境を洗い出します。 Talos Linuxの運用担当者に、対象モジュールの版とRegistryAuthConfigリソースの有無を確認してもらいます。確認結果を対象クラスタごとに記録し、修正版未満の環境を分けてください。
- 次の資料共有前に内容を確認します。 共有予定のsupport.zipについて、前述の2つのファイルに認証情報が残っていないか点検します。確認が終わるまでは、その資料の新たな投稿を控える運用を関係者に伝えてください。
- 今日から過去の共有先を確認します。 GitHubのIssue、Slack、公開フォーラムへの投稿履歴を、運用担当者とサポート窓口の担当者で調べます。該当資料があれば、共有先と閲覧範囲を記録し、削除やアクセス制限を依頼してください。
- 露出の可能性があれば認証情報を見直します。 レジストリ管理者とセキュリティ担当者に連絡し、外部公開の有無と書き込み権限を確認します。漏えいの可能性がある認証情報は、無効化・再発行の要否を判断してください。
- 次回の診断資料生成までに更新方針を決めます。 運用担当者と修正版への更新を調整します。Talos 1.14以降の既定暗号化を使う場合も、受信者を確認し、資料の共有手順に反映してください。
