CVE-2026-96812

WysokieCVSS 8.8

Opublikowano: 25/09/2026(UTC)Zaktualizowano: 25/09/2026(UTC)Przetłumaczono: 25/09/2026(UTC)NVD NIST

Streszczenie

W Google gVisor przed commitem 573a9e73cf844f, na platformach Linux z włączonym CUSE, występuje niewłaściwe udostępnienie zasobu w helperze plików hosta (gofer). Lokalny atakujący z uprawnieniami do wdrażania obrazów kontenerów może umieścić węzeł urządzenia /dev/cuse w obrazie kontenera, co pozwala zarejestrować urządzenie hosta i wykorzystać nieograniczoną obsługę ioctl w CUSE do nadpisania pamięci helpera udev. Prowadzi to do wykonania kodu z uprawnieniami roota na hoście.

Ocena ryzyka

Atakujący może uzyskać wykonanie kodu z uprawnieniami roota na systemie hosta, całkowicie przełamując izolację sandboxa i przejmując kontrolę nad infrastrukturą.

Rekomendacja

Zaktualizuj gVisor do commita 573a9e73cf844f lub nowszego. Ogranicz uprawnienia do wdrażania obrazów kontenerów wyłącznie do zaufanych użytkowników.

Inne podatności w gVisor

CVE-2026-95702Wysokie
Podatność use-after-free w VFS w Google gVisor przed wersją 20260831.0 na wszystkich platformach pozwala lokalnemu atakującemu z uprawnieniami kontenera na wykonanie kodu w procesie sentry na hoście poprzez podwójne zwolnienie MemoryFile z nakładanego systemu plików w sandboxie. Proces sentry pozostaje ograniczony przez mechanizmy seccomp i przestrzenie nazw Linuksa na poziomie hosta.

Oryginalny opis (angielski, źródło NVD)

Improper Exposure of Resource to Wrong Sphere in the host file helper (gofer) in Google gVisor prior to commit 573a9e73cf844f on Linux platforms with CUSE enabled allows a local attacker with container image deployment privileges to achieve root code execution on the host system. By including a /dev/cuse character device node in a container image, opening the device passes through to the host, allowing the sandboxed attacker to register a host device and exploit CUSE unrestricted ioctl handling to overwrite root udev helper memory.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS