CVE-2026-16487

WysokieCVSS 8.1

Opublikowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Streszczenie

W bootc podczas pracy z domyślną polityką podpisów kontenerów stwierdzono błąd. Automatyczne lub ręczne aktualizacje zmiennego tagu obrazu mogą zastosować niepodpisaną zawartość dla rejestrów, które podlegają ustawieniu insecureAcceptAnything, pozwalając atakującemu, który może zaktualizować ten tag, na wykonanie dowolnej zawartości systemu operacyjnego jako głównego systemu plików hosta przy ponownym rozruchu.

Ocena ryzyka

Atakujący może dostarczyć niepodpisany obraz i uzyskać wykonanie kodu jako root na hoście, co prowadzi do pełnego przejęcia systemu.

Rekomendacja

Zaktualizuj bootc do wersji zawierającej poprawkę. Unikaj używania zmiennych tagów obrazów i upewnij się, że polityka podpisów odrzuca niepodpisane obrazy.

Inne podatności w bootc

CVE-2026-16460Wysokie
W bootc i ostree stwierdzono błąd: już przygotowane wdrożenia są finalizowane bez ponownej walidacji obrazu kontenera wdrożenia względem aktualnej polityki podpisów kontenerów. Niepodpisana zawartość systemu operacyjnego przygotowana w ramach wcześniejszej permisywnej polityki może pozostać bootowalna po zaostrzeniu polityki w celu odrzucania niepodpisanych obrazów, co prowadzi do pełnego przejęcia hosta przy ponownym rozruchu.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in bootc when operating with the default containers signature policy. Automatic or manual upgrades of a mutable image tag may apply unsigned content for registries that fall through to insecureAcceptAnything, allowing an attacker who can update that tag to execute arbitrary OS content as the host root filesystem on reboot.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS