CVE-2026-50195
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Podatność w containerd przed wersjami 2.3.2, 2.2.5 i 2.1.9 pozwala atakującemu z uprawnieniami do tworzenia podów na zatrucie lokalnego cache obrazów poprzez spreparowany obraz punktu kontrolnego (checkpoint). Brak walidacji referencji obrazów w konfiguracji importu punktu kontrolnego umożliwia przypisanie dowolnego lokalnego tagu do złośliwego obrazu.
Ocena ryzyka
Organizacja narażona jest na wykonanie nieautoryzowanego kodu w kontekście ofiary poda, co może prowadzić do eskalacji uprawnień, kradzieży danych lub dalszego rozprzestrzeniania się ataku w klastrze.
Rekomendacja
Niezwłocznie zaktualizuj containerd do wersji 2.3.2, 2.2.5 lub 2.1.9. Ogranicz uprawnienia do tworzenia podów tylko do zaufanych podmiotów.
Inne podatności w containerd
Zobacz wszystkie- CVE-2026-53492Krytyczne
W systemie containerd przed wersjami 2.3.2, 2.2.5 i 2.1.9 wykryto podatność w implementacji CRI, która nieprawidłowo ufa adnotacjom CDI z nieufnych metadanych obrazów punktów kontrolnych podczas przywracania kontenera. Osoba z uprawnieniami do tworzenia podów może ominąć standardowe przydzielanie zasobów Kubernetes i wymusić wstrzyknięcie dowolnych urządzeń lub montowań hosta do przywróconego kontenera.
- CVE-2026-53493Średnie
Podatność w containerd (open-source runtime kontenerów) przed wersjami 1.7.36, 2.0.13, 2.2.9, 2.3.6 i 2.4.1. Spreparowany graf OCI index może wymusić bardzo wysokie zużycie CPU/pamięci podczas PullImage (przed uruchomieniem kontenera), powodując długie opóźnienia ContainerCreating, a przy większych rozmiarach niestabilność węzła/runtime'u.
- CVE-2026-53495Średnie
W containerd na Linuksie z włączoną wtyczką CRI, przed wersjami 1.7.35, 2.0.12, 2.2.8 i 2.3.5, funkcja drainExecSyncIO w internal/cri/server/container_execsync.go może zostać zablokowana na czas nieokreślony, gdy CRI ExecSync jest używane przez sondy exec lub hooki cyklu życia uruchamiające długotrwałe procesy potomne zachowujące potoki stdin/stdout. Faza opróżniania wejścia i wyjścia nie ma domyślnego limitu czasu i nie zatrzymywała się przy anulowaniu kontekstu żądania.
- CVE-2026-53489Średnie
Podatność w containerd pozwala na odczyt dowolnego pliku na hoście przez polecenie kubectl logs. Błąd występuje w pluginie CRI, który przywraca plik container.log z obrazu punktu kontrolnego bez walidacji ścieżki dowiązania symbolicznego.
- CVE-2026-47262Średnie
Podatność w containerd pozwala na wyczerpanie pamięci poprzez specjalnie spreparowany obraz kontenera, co prowadzi do zabicia procesu containerd (OOM) i uniemożliwia korzystanie z API środowiska uruchomieniowego. Problem dotyczy wersji przed 1.7.33, 2.0.10, 2.1.9, 2.2.5 i 2.3.2.
- CVE-2026-46680Wysokie
W containerd przed wersjami 1.7.32, 2.0.9, 2.2.4 i 2.3.1, kontenery z dyrektywą User ustawioną na wartość liczbową, która nie może być sparsowana jako 32-bitowa liczba całkowita, są błędnie traktowane jako nazwa użytkownika. Umożliwia to ominięcie ograniczenia runAsNonRoot w Kubernetes, jeśli spreparowany obraz zawiera wpis w /etc/passwd mapujący tę dużą liczbę na roota, co powoduje uruchomienie kontenera jako root (UID 0).
- CVE-2026-53488Wysokie
Wtyczka CRI w containerd przed wersjami 1.7.33, 2.3.2, 2.2.5, 2.1.9 i 2.0.10 propaguje etykiety z konfiguracji obrazu (instrukcja LABEL w Dockerfile) do kontenera bez walidacji. Może to umożliwić wykonanie dowolnego polecenia na hoście przez wtyczkę, która wykorzystuje etykiety kontenerów do pewnych operacji.
Oryginalny opis (angielski, źródło NVD)
containerd is an open-source container runtime. Versions prior to 2.3.2, 2.2.5 and 2.1.9 contain a vulnerability in the CRI checkpoint import process where it fails to validate the image references specified within a checkpoint image's configuration. An attacker with permissions to create pods can use a crafted checkpoint image to force containerd to pull a malicious image and assign it an arbitrary local tag, thereby poisoning the node's local image cache. Subsequently, if other pods on the same node attempt to use the poisoned tag with an IfNotPresent (or Never) pull policy, they will unknowingly execute the attacker's malicious image instead of the legitimate one. This can lead to a compromise of the affected pods, allowing the attacker to execute arbitrary code under the victim pod's identity. This issue has been fixed in versions 2.3.2, 2.2.5 and 2.1.9.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS