Що нового в Docker Engine 29.9

Коротко

Лінійка релізів Docker Engine 29.9 додає функцію lazy-pull для оптимізації завантаження шарів через containerd image store та офіційно закріплює доступність опублікованих портів Swarm-сервісів на IPv6-адресах хоста. Оновлення містить масштабний пакет виправлень безпеки для середовища виконання Go, containerd, SwarmKit та BuildKit. Також розробники усунули низку збоїв у роботі мережевого стека та API демона під навантаженням.

Нові можливості

Сховище образів containerd

• Підтримка lazy-pull: додано функцію демона lazy-pull, яка керує тим, чи пропускає docker pull завантаження вмісту шарів, якщо їх уже надає снепшоттер. За замовчуванням ліниве завантаження увімкнено для відомих віддалених снепшоттерів (nydus, overlaybd, soci, stargz).

Мережа та Swarm

• Доступ до портів Swarm через IPv6: опубліковані порти Swarm-сервісів тепер доступні на IPv6-адресах хоста, коли увімкнено userland-proxy. Функціональність випадково з'явилася у версії 29.8.0, а починаючи з 29.9.0 є протестованою та офіційно підтримуваною.
• IPv6 Neighbour Discovery у bridge-мережах: дозволено проходження IPv6 Neighbour Discovery між контейнерами в мережі bridge із вимкненим міжконтейнерним зв'язком (inter-container communication), що відповідає наявній поведінці IPv4.

Оновлення залежностей

• Складальник BuildKit оновлено до версій v0.34.0 та згодом до v0.34.2.
• Середовище Go runtime оновлено до 1.26.9 і 1.26.10.
• Статичні бінарні файли containerd оновлено до v2.4.1 та v2.4.2.
• Інструмент RootlessKit оновлено до 3.2.0, а пізніше до v3.3.0.

Виправлення та покращення

Безпека

• Виправлення в Go runtime та HTTP/2: усунено вразливості CVE-2026-97032, CVE-2026-78659, CVE-2026-78663 та CVE-2026-78669, які дозволяли клієнту HTTP/2 аварійно зупиняти демон, вичерпувати пам'ять або надмірно навантажувати процесор.
• Безпека шляхів на Windows: закрито вразливість CVE-2026-56857, що за наявності точки з'єднання (junction) дозволяла демону створювати каталог поза межами data root.
• Блокування скомпрометованих сертифікатів (CVE-2026-111943): середовище виконання відхиляє ланцюжки сертифікатів з вісьмома відкликаними проміжними сертифікатами eMudhra (EM DV TLS CA - G3B/G3C, EM OV TLS CA - G3B/G3C, EM EV TLS CA - G3B/G3C, EM OV CS CA - G3B/G3C). Пуші та пули образів завершуються помилкою перевірки TLS, якщо реєстр використовує ці сертифікати.
• Вразливості containerd: оновлення до v2.4.2 закриває падіння через анотацію io.containerd.manifest.subject зі спотвореним дайджестом (CVE-2026-95839), падіння через заголовок Content-Length (GHSA-8647-2jxj-p2rc) та вичерпання дискового простору невалідованими даними шарів (GHSA-hc94-p972-ch66).
• Swarm та BuildKit: виправлено вразливість CVE-2026-115539, де атакуючий із сертифікатом worker-ноди міг отримати сертифікат manager-ноди після зміни лідера Swarm. У BuildKit виправлено падіння демона через кеш резолвера (GHSA-2fqp-xg6f-v7gj) та можливість встановлення розширених атрибутів файлів за межами каталогу стану (GHSA-w26x-xg27-7qjc).

Мережевий стек

• Виправлено проблему, через яку помилки налаштування шифрування data-plane оверлейної мережі в ядрі за певних обставин могли призводити до передачі трафіку до деяких нод у відкритому вигляді (moby/moby#53420).
• Звільнення асоціацій та політик безпеки IPsec тепер відбувається одразу, коли останній контейнер залишає зашифровану overlay-мережу.
• Виправлено відображення опублікованих портів у docker ps та GET /containers/json для мереж у режимі routed gateway.
• Виправлено доступність опублікованого порту з іншого контейнера в тій самій мережі, коли міжконтейнерний зв'язок вимкнено (включно із сервісами Swarm через routing mesh).
• Відновлено логіку видалення порожнього ланцюжка iptables DOCKER-INGRESS та правила FORWARD.
• Виправлено збій відновлення bridge-мереж під час запуску демона, якщо міст прив'язано до зони firewalld, відмінної від docker.

Демон і CLI

• Виправлено зависання демона під час обробки API-запитів до контейнерів, образів та системи під навантаженням.
• У containerd image store виправлено помилку під час завантаження образів, коли розпаковані шари вже існували, через що образ залишався неповним для експорту чи відправки.
• Виправлено збій docker ps -s у випадках, коли розмір одного з контейнерів не вдалося обчислити.
• Виправлено падіння демона при використанні драйвера логування fluentd з адресою TLS, до якої не вдається підключитися, та активним fluentd-async.
• Усунуто витік з'єднань із сокетом RootlessKit API на кожен запит GET /version у rootless-режимі.
• Забезпечено коректну роботу прапорця --domainname у rootless-режимі за наявності сумісного OCI-рантайму (зокрема runc >= v1.2.0).
• Прапорець --unregister-service для служби Windows став ідемпотентним.