CVE-2026-53488
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 — wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka CRI w containerd przed wersjami 1.7.33, 2.3.2, 2.2.5, 2.1.9 i 2.0.10 propaguje etykiety z konfiguracji obrazu (instrukcja LABEL w Dockerfile) do kontenera bez walidacji. Może to umożliwić wykonanie dowolnego polecenia na hoście przez wtyczkę, która wykorzystuje etykiety kontenerów do pewnych operacji.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu na hoście, co prowadzi do pełnej kompromitacji systemu i potencjalnego przejęcia kontroli nad środowiskiem kontenerowym.
Rekomendacja
Należy niezwłocznie zaktualizować containerd do wersji 1.7.33, 2.3.2, 2.2.5, 2.1.9 lub 2.0.10 w zależności od używanej gałęzi.
Oryginalny opis (angielski, źródło NVD)
containerd is an open-source container runtime. In versions prior to 1.7.33, 2.3.2, 2.2.5, 2.1.9, and 2.0.10 the CRI plugin propagates labels from an image config (LABEL instruction in Dockerfile) to a container without validation. This may result in executing an arbitrary command on the host, via a plugin that consumes container labels for some operations. This issue has been fixed in versions 1.7.33, 2.3.2, 2.2.5, 2.1.9, and 2.0.10.