CVE-2026-41326

Kata Containers przed wersją 3.31.0 jest podatne na eskalację z roota gościa do roota hosta w ścieżce standalone virtio-fs. W tej konfiguracji host virtiofsd działa jako root z opcjami --sandbox none --seccomp none, co pozwala atakującemu z dostępem root w gościu na obejście klienta virtio-fs i wysyłanie surowych żądań FUSE do hosta virtiofsd, tworząc dowiązania symboliczne w wrażliwych lokalizacjach hosta, takich jak /etc/cron.d, co prowadzi do wykonania kodu jako root na hoście.

Kata Containers przed wersją 4.0.0 jest podatne na wykonanie kodu na hoście poprzez niezweryfikowaną adnotację ścieżki konfiguracji. Runtime akceptuje dowolną adnotację io.katacontainers.config_path i ładuje wskazany plik TOML na hoście bez ograniczeń, co pozwala użytkownikowi pod na umieszczenie pliku w ścieżce widocznej dla hosta i dostarczenie konfiguracji wybierającej kontrolowany przez atakującego hipervisor lub binarny plik demona virtio-fs, wykonując kod jako root na hoście.

W Kata Containers przed wersją 3.31.0 domyślna konfiguracja pozwala twórcom podów na wstrzykiwanie dowolnych argumentów wiersza poleceń do procesu virtiofsd poprzez adnotację poda `io.katacontainers.config.hypervisor.virtio_fs_extra_args`. Poprzez wstrzyknięcie `-o source=/` wraz z `--no-announce-submounts` i `--sandbox=none`, atakujący może nadpisać katalog współdzielony virtiofsd, aby udostępnić cały system plików hosta do maszyny wirtualnej gościa. W połączeniu z adnotacją `kernel_params` (również domyślnie włączoną) do aktywacji konsoli debugowania agenta, atakujący może zamontować system plików hosta z wewnątrz VM i odczytać lub zapisać dowolny plik na hoście, w tym /etc/shadow.

Podatność w Kata Containers przed wersją 3.27.0 z Cloud Hypervisor pozwala użytkownikowi kontenera na modyfikację systemu plików maszyny wirtualnej gościa, co umożliwia wykonanie dowolnego kodu jako root w tej maszynie wirtualnej. Problem nie wpływa na bezpieczeństwo hosta ani innych kontenerów/maszyn wirtualnych na tym samym hoście, ale w przypadku arm64 z QEMU brak wsparcia dla NVDIMM tylko do odczytu może pozwolić na zapis do pliku obrazu.

W Kata Containers, w konfiguracjach używających genpolicy do ochrony gości Confidential Containers, złośliwy operator hosta może wykorzystać niedostateczną walidację reguł montowania i przechowywania CreateContainer. Pozwala to na montowanie dowolnych ścieżek rootfs kontenera w wrażliwych lokalizacjach hosta lub dostarczanie dowolnej zawartości, co może ujawnić poufne informacje lub umożliwić akceptację danych kontrolowanych przez atakującego.

Kata Containers przed wersją 4.0.0 zawiera podatność na obejście autoryzacji w zarządzaniu pamięcią poufnych gości. Dwie metody ttRPC związane z funkcją mem-agent nie sprawdzają polityki AgentPolicy, co pozwala niezaufanemu hostowi na manipulowanie pamięcią gościa, gdy mem-agent jest włączony (domyślnie wyłączony). Atak może prowadzić do degradacji wydajności i dostępności obciążenia, ale nie do ujawnienia pamięci ani wykonania kodu.