CVE-2026-46680
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 — wyżej niż 13% wszystkich znanych CVE
Streszczenie
W containerd przed wersjami 1.7.32, 2.0.9, 2.2.4 i 2.3.1, kontenery z dyrektywą User ustawioną na wartość liczbową, która nie może być sparsowana jako 32-bitowa liczba całkowita, są błędnie traktowane jako nazwa użytkownika. Umożliwia to ominięcie ograniczenia runAsNonRoot w Kubernetes, jeśli spreparowany obraz zawiera wpis w /etc/passwd mapujący tę dużą liczbę na roota, co powoduje uruchomienie kontenera jako root (UID 0).
Ocena ryzyka
Organizacja może doświadczyć naruszenia polityk bezpieczeństwa Kubernetes, gdzie kontenery wymagane do działania jako nie-root mogą zostać uruchomione z uprawnieniami roota, co prowadzi do nieautoryzowanego dostępu i potencjalnej eskalacji uprawnień w klastrze.
Rekomendacja
Należy niezwłocznie zaktualizować containerd do wersji 1.7.32, 2.0.9, 2.2.4 lub 2.3.1 w zależności od używanej gałęzi. Po aktualizacji zweryfikować, czy wszystkie kontenery są uruchamiane zgodnie z polityką runAsNonRoot.
Oryginalny opis (angielski, źródło NVD)
containerd is an open-source container runtime. In versions prior to 1.7.32, 2.0.9, 2.2.4 and 2.3.1, containers launched with a numeric User directive that cannot be parsed as a 32-bit integer are incorrectly treated as a username, leading to runAsNonRoot evasion. If a crafted image provides an /etc/passwd file mapping this large numeric string to root, the container ultimately runs as root (UID 0). This allows the Kubernetes runAsNonRoot restriction to be bypassed, causing unexpected behavior for environments that require containers to run as a non-root user. This issue has been fixed in versions 1.7.32, 2.0.9, 2.2.4 and 2.3.1.