CVE-2025-64750

ŚrednieCVSS 4.5

Opublikowano: 02/12/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

SingularityCE i SingularityPRO to platformy kontenerowe. W wersjach przed SingularityCE 4.3.5 i SingularityPRO 4.1.11 oraz 4.3.5 atakujący może przekierować operację zapisu etykiety LSM, czyniąc ją nieskuteczną, jeśli użytkownik polega na ograniczeniach LSM. Wymaga to uruchomienia złośliwego obrazu kontenera i kontroli zawartości współdzielonego montowania.

Ocena ryzyka

Obejście mechanizmów bezpieczeństwa LSM może pozwolić na nieautoryzowane operacje wewnątrz kontenera, prowadząc do eskalacji uprawnień lub naruszenia izolacji.

Rekomendacja

Zaktualizuj SingularityCE do wersji 4.3.5 lub nowszej oraz SingularityPRO do wersji 4.1.11 lub 4.3.5. Unikaj uruchamiania niezaufanych obrazów kontenerów.

Inne podatności w SingularityCE

CVE-2026-47215Średnie
W platformach SingularityCE i SingularityPRO przed wersjami odpowiednio 4.4.2 oraz 4.3.9 i 4.1.14 nieprawidłowe dopasowanie ciągów ścieżek w dyrektywie limit container paths w pliku singularity.conf pozwala na uruchomienie kontenera z katalogu sąsiedniego, np. /data/safe-but-unsafe, gdy dozwolony jest /data/safe w trybie setuid. Umożliwia to użytkownikowi uruchomienie kontenera spoza skonfigurowanej przez administratora listy dozwolonych ścieżek. Instalacje niekorzystające z limit container paths nie są podatne.

Oryginalny opis (angielski, źródło NVD)

SingularityCE and SingularityPRO are open source container platforms. Prior to SingularityCE 4.3.5 and SingularityPRO 4.1.11 and 4.3.5, if a user relies on LSM restrictions to prevent malicious operations then, under certain circumstances, an attacker can redirect the LSM label write operation so that it is ineffective. The attacker must cause the user to run a malicious container image that redirects the mount of /proc to the destination of a shared mount, either known to be configured on the target system, or that will be specified by the user when running the container. The attacker must also control the content of the shared mount, for example through another malicious container which also binds it, or as a user with relevant permissions on the host system it is bound from. This vulnerability is fixed in SingularityCE 4.3.5 and SingularityPRO 4.1.11 and 4.3.5.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS