CVE-2026-16487

Niskie ryzyko· EPSS 6%

Opublikowano: 19/10/2026(UTC)Zaktualizowano: 21/10/2026(UTC)Przetłumaczono: 21/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Zgłoszenie zostało odrzucone przez Red Hat Product Security, która uznała, że nie jest to podatność w bootc ani containers-common. Domyślna polityka /etc/containers/policy.json zezwala na dowolne obrazy z rejestrów bez wymogu podpisu, ale registry.redhat.io i registry.access.redhat.com wymagają podpisów. Aktualizacja mutowalnego tagu wymaga uprawnień do publikowania w referencji skonfigurowanej przez administratora, a wymuszanie podpisów można włączyć przez politykę lub bootc enforce-container-sigpolicy (domyślnie wyłączone).

Ocena ryzyka

Red Hat nie uznaje tego za podatność, więc nie ma bezpośredniego ryzyka z tego wpisu. Organizacje korzystające z rejestrów bez wymogu podpisu powinny jednak świadomie ocenić, czy domyślna polityka insecureAcceptAnything jest zgodna z ich wymaganiami bezpieczeństwa.

Rekomendacja

Nie traktuj tego jako podatności do załatania. Rozważ włączenie wymuszania podpisów przez politykę /etc/containers/policy.json lub bootc enforce-container-sigpolicy, jeśli wymagane jest podpisywanie obrazów.

Inne podatności w bootc

CVE-2026-16460Wysokie
W bootc i ostree stwierdzono błąd: już przygotowane wdrożenia są finalizowane bez ponownej walidacji obrazu kontenera wdrożenia względem aktualnej polityki podpisów kontenerów. Niepodpisana zawartość systemu operacyjnego przygotowana w ramach wcześniejszej permisywnej polityki może pozostać bootowalna po zaostrzeniu polityki w celu odrzucania niepodpisanych obrazów, co prowadzi do pełnego przejęcia hosta przy ponownym rozruchu.

Oryginalny opis (angielski, źródło NVD)

Rejected reason: Red Hat Product Security has determined that this is not a vulnerability in bootc or containers-common. bootc fetches images under /etc/containers/policy.json. The shipped default is insecureAcceptAnything for registries without an explicit signature requirement; registry.redhat.io and registry.access.redhat.com require signatures. Updating a mutable tag requires the ability to publish to the reference an administrator has already configured the host to follow. Requiring signatures is available through that policy and through bootc enforce-container-sigpolicy, which is off by default. Persistence of /var across bootc rollback is expected image-mode behavior.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS