CVE-2026-47215

ŚrednieCVSS 4.8

Opublikowano: 15/09/2026(UTC)Zaktualizowano: 25/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

W platformach SingularityCE i SingularityPRO przed wersjami odpowiednio 4.4.2 oraz 4.3.9 i 4.1.14 nieprawidłowe dopasowanie ciągów ścieżek w dyrektywie limit container paths w pliku singularity.conf pozwala na uruchomienie kontenera z katalogu sąsiedniego, np. /data/safe-but-unsafe, gdy dozwolony jest /data/safe w trybie setuid. Umożliwia to użytkownikowi uruchomienie kontenera spoza skonfigurowanej przez administratora listy dozwolonych ścieżek. Instalacje niekorzystające z limit container paths nie są podatne.

Ocena ryzyka

Użytkownik może obejść administracyjne ograniczenia ścieżek i uruchomić kontenery z niedozwolonych lokalizacji, co narusza politykę bezpieczeństwa organizacji.

Rekomendacja

Zaktualizuj SingularityCE do wersji 4.4.2 lub nowszej, a SingularityPRO do wersji 4.3.9 lub 4.1.14 (lub nowszych).

Inne podatności w SingularityCE

CVE-2025-64750Średnie
SingularityCE i SingularityPRO to platformy kontenerowe. W wersjach przed SingularityCE 4.3.5 i SingularityPRO 4.1.11 oraz 4.3.5 atakujący może przekierować operację zapisu etykiety LSM, czyniąc ją nieskuteczną, jeśli użytkownik polega na ograniczeniach LSM. Wymaga to uruchomienia złośliwego obrazu kontenera i kontroli zawartości współdzielonego montowania.

Oryginalny opis (angielski, źródło NVD)

SingularityCE and SingularityPRO are open source container platforms. Prior to SingularityCE 4.4.2 and SingularityPRO 4.3.9 and 4.1.14, incorrect path-string matching in the singularity.conf limit container paths directive allows a container in a sibling directory such as /data/safe-but-unsafe to be run when /data/safe is allowed under setuid mode. This permits a user to run a container from outside the administrator's configured path allowlist. Installations that do not use limit container paths are not affected. This issue is fixed in SingularityCE 4.4.2 and SingularityPRO 4.3.9 and 4.1.14.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS