CVE-2026-92574
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Podatność w funkcji przywracania z checkpointu w CRI-O pozwala użytkownikowi mogącemu utworzyć pod z złośliwego obrazu kontenera obejść docelowy kontekst bezpieczeństwa Kubernetes. Przywrócony proces może zachować poświadczenia, uprawnienia Linux, stan no_new_privs i seccomp z checkpointu zamiast stosować konfigurację docelową.
Ocena ryzyka
Możliwe jest wykonanie kodu z podwyższonymi uprawnieniami poza granicami bezpieczeństwa kontenera, co może prowadzić do przejęcia hosta lub innych kontenerów. Dotyczy to CRI-O 1.34+ oraz produktów Red Hat OCP 4.17+.
Rekomendacja
Zastosuj poprawki, gdy tylko zostaną wydane dla wspieranych gałęzi CRI-O i OCP. Do czasu ich udostępnienia ogranicz uprawnienia do tworzenia podów z checkpointów oraz wyłącz funkcję przywracania z checkpointu, jeśli nie jest wymagana.
Inne podatności w CRI-O
Zobacz wszystkie- CVE-2026-15801Wysokie
Podatność w CRI-O związana z funkcją checkpoint i restore kontenerów. Gdy CRI-O jest skonfigurowane do przywracania kontenerów z archiwów checkpoint, niewystarczająca walidacja metadanych przywracania może pozwolić użytkownikowi z odpowiednimi uprawnieniami na wykonanie niezamierzonych operacji na systemie plików hosta.
- CVE-2026-17113Średnie
W CRI-O wykryto podatność w obsłudze zmiennych środowiskowych podczas tworzenia kontenerów. Gdy żądanie CreateContainer zawiera pole Envs o wartości nil, CRI-O używa nieprzetworzonych wpisów config.Env z obrazu OCI, co może prowadzić do paniki Go i awarii demona crio. Problem występuje, gdy wpis nie zawiera znaku '='.
- CVE-2026-15809Wysokie
W CRI-O znaleziono błąd polegający na nieprawidłowej naprawie wcześniejszej podatności CVE-2022-4318, co umożliwia jej obejście. Atakujący, który może ustawić zmienne środowiskowe w kontenerze, może wstrzyknąć znak nowej linii do zmiennej HOME, co pozwala na dodanie dowolnych linii do pliku /etc/passwd.
- CVE-2025-4437Średnie
W aplikacji CRI-O występuje podatność polegająca na tym, że gdy kontener jest uruchamiany z securityContext.runAsUser określającym nieistniejącego użytkownika, CRI-O próbuje utworzyć użytkownika, wczytując cały plik /etc/passwd kontenera do pamięci. Jeśli ten plik jest nadmiernie duży, może to spowodować wysokie zużycie pamięci, prowadząc do zabicia aplikacji z powodu braku pamięci. W rezultacie można osiągnąć odmowę usługi, potencjalnie zakłócając działanie innych podów i usług działających na tym samym hoście.
- CVE-2024-5154Wysokie
W cri-o znaleziono błąd: złośliwy kontener może utworzyć dowiązanie symboliczne do dowolnych plików na hoście poprzez przechodzenie po katalogach („../”). Ta wada pozwala kontenerowi na odczyt i zapis dowolnych plików w systemie hosta.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in CRI-O checkpoint restore allows a user who can create a pod from a malicious checkpointed container to bypass the destination Kubernetes security context. The restored process may retain credentials, Linux capabilities, no_new_privs, and seccomp state from the checkpoint instead of enforcing the destination configuration. This can allow execution with elevated privileges across the container security boundary. Affected upstream supported versions are CRI-O 1.34 and later. Downstream Red Hat products are affected from OCP 4.17 onward. Fixes have been applied to supported branches but are not yet released. Exploitation requires permission to create a pod from a malicious checkpoint image and checkpoint restore functionality to be available.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS