CVE-2026-53495
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
W containerd na Linuksie z włączoną wtyczką CRI, przed wersjami 1.7.35, 2.0.12, 2.2.8 i 2.3.5, funkcja drainExecSyncIO w internal/cri/server/container_execsync.go może zostać zablokowana na czas nieokreślony, gdy CRI ExecSync jest używane przez sondy exec lub hooki cyklu życia uruchamiające długotrwałe procesy potomne zachowujące potoki stdin/stdout. Faza opróżniania wejścia i wyjścia nie ma domyślnego limitu czasu i nie zatrzymywała się przy anulowaniu kontekstu żądania.
Ocena ryzyka
Powtarzane wywołania ExecSync mogą gromadzić zablokowane goroutines i zużywać pamięć hosta, co może doprowadzić do zabicia containerd przez OOM killer i niedostępności runtime kontenerów do czasu restartu. Wdrożenia bez CRI i kontenery poza Linuksem nie są narażone.
Rekomendacja
Zaktualizuj containerd do wersji 1.7.35, 2.0.12, 2.2.8 lub 2.3.5. Do czasu aktualizacji monitoruj zużycie pamięci i zablokowane goroutines w środowiskach z CRI.
Inne podatności w containerd
Zobacz wszystkie- CVE-2025-64329Średnie
containerd to open-source'owe środowisko uruchomieniowe kontenerów. Wersje 1.7.28 i starsze, 2.0.0-beta.0 do 2.0.6, 2.1.0-beta.0 do 2.1.4 oraz 2.2.0-beta.0 do 2.2.0-rc.1 zawierają błąd w implementacji CRI Attach, który pozwala użytkownikowi wyczerpać pamięć na hoście z powodu wycieków goroutine. Problem naprawiono w wersjach 1.7.29, 2.0.7, 2.1.5 i 2.2.0. Obejściem jest skonfigurowanie kontrolera admission kontrolującego dostęp do zasobów pods/attach.
- CVE-2024-25621Wysokie
containerd w wersjach od 0.1.0 do 1.7.28, od 2.0.0-beta.0 do 2.0.6, od 2.1.0-beta.0 do 2.1.4 oraz od 2.2.0-beta.0 do 2.2.0-rc.1 ma podatność związaną z nadmiernie szerokimi domyślnymi uprawnieniami. Katalogi /var/lib/containerd, /run/containerd/io.containerd.grpc.v1.cri oraz /run/containerd/io.containerd.sandbox.controller.v1.shim są tworzone z nieprawidłowymi uprawnieniami.
- CVE-2024-40635Średnie
W containerd przed wersjami 1.6.38, 1.7.27 i 2.0.4 kontenery uruchamiane z użytkownikiem ustawionym jako UID:GID większy niż maksymalna 32-bitowa liczba całkowita ze znakiem mogą powodować przepełnienie, w wyniku którego kontener działa jako root (UID 0).
- CVE-2026-53492Krytyczne
W systemie containerd przed wersjami 2.3.2, 2.2.5 i 2.1.9 wykryto podatność w implementacji CRI, która nieprawidłowo ufa adnotacjom CDI z nieufnych metadanych obrazów punktów kontrolnych podczas przywracania kontenera. Osoba z uprawnieniami do tworzenia podów może ominąć standardowe przydzielanie zasobów Kubernetes i wymusić wstrzyknięcie dowolnych urządzeń lub montowań hosta do przywróconego kontenera.
- CVE-2026-50195Krytyczne
Podatność w containerd przed wersjami 2.3.2, 2.2.5 i 2.1.9 pozwala atakującemu z uprawnieniami do tworzenia podów na zatrucie lokalnego cache obrazów poprzez spreparowany obraz punktu kontrolnego (checkpoint). Brak walidacji referencji obrazów w konfiguracji importu punktu kontrolnego umożliwia przypisanie dowolnego lokalnego tagu do złośliwego obrazu.
- CVE-2026-95838Średnie
containerd przed wersjami 1.7.35, 2.0.12, 2.2.8 i 2.3.5 zawiera błąd, w którym obsługa rozpakowywania warstw wielokrotnie przechodzi przez katalogi dla niektórych konfiguracji opaque whiteout. Złośliwa warstwa obrazu może wywołać powtarzające się przechodzenie przez katalogi podczas przetwarzania opaque whiteout. Pobranie lub zaimportowanie obrazu może zużywać CPU, opóźniać uruchamianie kontenerów i zmniejszać współbieżność pobierania obrazów dla niepowiązanych wdrożeń.
- CVE-2026-95837Wysokie
containerd to open-source'owy runtime kontenerów. Od wersji 2.1.0 do 2.2.7 i 2.3.4, przywracanie punktu kontrolnego CRI CreateContainer jest podatne, ponieważ CRIU przywraca stan bezpieczeństwa procesu z danych punktu kontrolnego zamiast egzekwować docelowy ContainerConfig. Atakujący, który może utworzyć kontener z przygotowanego punktu kontrolnego, może dostarczyć przywrócone poświadczenia, capabilities, no_new_privs i stan seccomp. Przywrócony proces może działać jako root z pełnymi capabilities i bez egzekwowanych filtrów seccomp, podczas gdy CRI raportuje żądaną konfigurację. Systemy, które nie używają CRI checkpoint restore, nie są dotknięte. Problem naprawiono w wersjach 2.2.7 i 2.3.4.
- CVE-2026-53493Średnie
Podatność w containerd (open-source runtime kontenerów) przed wersjami 1.7.36, 2.0.13, 2.2.9, 2.3.6 i 2.4.1. Spreparowany graf OCI index może wymusić bardzo wysokie zużycie CPU/pamięci podczas PullImage (przed uruchomieniem kontenera), powodując długie opóźnienia ContainerCreating, a przy większych rozmiarach niestabilność węzła/runtime'u.
- CVE-2026-53489Średnie
Podatność w containerd pozwala na odczyt dowolnego pliku na hoście przez polecenie kubectl logs. Błąd występuje w pluginie CRI, który przywraca plik container.log z obrazu punktu kontrolnego bez walidacji ścieżki dowiązania symbolicznego.
- CVE-2026-47262Średnie
Podatność w containerd pozwala na wyczerpanie pamięci poprzez specjalnie spreparowany obraz kontenera, co prowadzi do zabicia procesu containerd (OOM) i uniemożliwia korzystanie z API środowiska uruchomieniowego. Problem dotyczy wersji przed 1.7.33, 2.0.10, 2.1.9, 2.2.5 i 2.3.2.
Oryginalny opis (angielski, źródło NVD)
containerd is an open-source container runtime. Prior to 1.7.35, 2.0.12, 2.2.8, and 2.3.5, containerd on Linux with the CRI plugin enabled can indefinitely block the drainExecSyncIO goroutine in internal/cri/server/container_execsync.go when CRI ExecSync is used by exec probes or lifecycle hooks that launch long-lived background child processes retaining standard input and output pipes. The input and output drain phase has no default timeout and did not stop when the request context was canceled, so repeated ExecSync invocations can accumulate blocked goroutines and host memory. The resulting resource exhaustion can cause the OOM killer to terminate containerd, leaving the container runtime unavailable until restart. Deployments not using containerd's CRI implementation and containers not running on Linux are not affected. This issue is fixed in versions 1.7.35, 2.0.12, 2.2.8, and 2.3.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS