CVE-2026-57231
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Podman od wersji 1.8.1 do 5.8.4 zawiera podatność, w której obraz kontenera z zmienną środowiskową zawierającą tylko klucz (bez wartości) może spowodować przekazanie tej zmiennej z hosta do kontenera. Użycie gwiazdki (*) jako klucza powoduje przekazanie wszystkich zmiennych środowiskowych hosta, co umożliwia złośliwemu obrazowi kradzież zmiennych środowiskowych Podmana z sesji uruchomienia kontenera.
Ocena ryzyka
Ryzyko polega na wycieku wrażliwych zmiennych środowiskowych (np. tokenów, haseł, kluczy API) z hosta do kontenera, co może prowadzić do nieautoryzowanego dostępu do zasobów organizacji.
Rekomendacja
Należy natychmiast zaktualizować Podmana do wersji 5.8.4 lub 6.0.0, które zawierają poprawkę eliminującą tę podatność.
Inne podatności w Podman
Zobacz wszystkie- CVE-2026-94603Krytyczne
Podman od wersji 4.4.0 do 5.8.8 i 6.1.3 traktuje obraz z adnotacją io.podman.annotations.checkpoint.runtime.name jako checkpoint i po cichu ignoruje ograniczenia tworzenia kontenera podane przez użytkownika, takie jak --cap-drop=ALL. Pozwala to na wybór słabszych ustawień sandboxa i uprawnień przez obraz. Kontenery rootless nie są objęte problemem, ponieważ checkpoint i restore są w tym trybie niedostępne. Problem naprawiono w wersjach 5.8.8 i 6.1.3.
- CVE-2025-11395Średnie
W Podmanie wykryto lukę. Jeśli atakujący może przekazać spreparowane archiwum tar do polecenia `podman load`, może utworzyć pliki na maszynie hosta z uprawnieniami użytkownika uruchamiającego Podmana.
- CVE-2026-19730Średnie
Polecenie 'podman quadlet install --replace' otwiera istniejący plik Quadlet bez flagi O_TRUNC, co przy braku wsparcia reflink (np. domyślny XFS w RHEL) prowadzi do niepełnego nadpisania pliku. Jeśli nowy Quadlet jest krótszy niż oryginał, stare dane pozostają na końcu pliku, a polecenie kończy się bez ostrzeżenia.
- CVE-2026-33414Wysokie
Podman w wersjach 4.8.0 do 5.8.1 zawiera podatność na wstrzykiwanie poleceń w backendzie HyperV, gdzie ścieżka obrazu VM jest wstawiana do stringa PowerShell bez sanityzacji, umożliwiając wykonanie dowolnych poleceń PowerShell z uprawnieniami procesu Podman (na Windows SYSTEM).
- CVE-2025-4953Wysokie
W Podmanie wykryto podatność, w której dane zapisane do montowań typu `RUN --mount=type=bind` podczas budowania obrazu nie są odrzucane. Powoduje to, że pliki utworzone wewnątrz kontenera pojawiają się w tymczasowym katalogu kontekstu budowania na hoście, pozostając dostępne.
- CVE-2025-9566Wysokie
Podatność w Podman pozwala atakującemu na nadpisanie plików hosta za pomocą polecenia 'kube play', gdy plik kube zawiera wolumin typu Secret lub ConfigMap z dowiązaniem symbolicznym do ścieżki na hoście. Atakujący może kontrolować, który plik zostanie nadpisany, ale nie jego zawartość.
- CVE-2025-6032Wysokie
W Podmanie wykryto podatność polegającą na braku weryfikacji certyfikatu TLS podczas pobierania obrazów maszyn wirtualnych przez polecenie `podman machine init`. Umożliwia to atak typu Man-in-the-Middle (MITM).
- CVE-2024-11218Wysokie
Podatność w `podman build` i `buildah` umożliwia ucieczkę z kontenera przez wykorzystanie wyścigu z flagą --jobs=2 podczas budowania złośliwego Containerfile. Nawet przy włączonym SELinux możliwe jest wyliczanie plików i katalogów na hoście.
Oryginalny opis (angielski, źródło NVD)
Podman is a tool for managing OCI containers and pods. From 1.8.1 until 5.8.4, a container image that contains a environment variable with just a key and no value can trick podman into passing that variable from the host into the container. This is made worse by the fact that using an asterisk (*) will cause podman to pass all host variables into the container. So essentially a malicious image can exfiltrate all podman environment variables that are set in the session from where the container is launched. This vulnerability is fixed in 5.8.4 and 6.0.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS