Containerd 2.1.x < 2.1.9 / 2.2.x < 2.2.5 / 2.3.x < 2.3.2 多种漏洞

critical Nessus 插件 ID 322408

语言：

简介

远程主机上安装的容器运行时受到多个漏洞的影响。

描述

远程主机上的 Containerd 版本低于 2.1.x2.1.9、 2.2.x2.2.5或2.3.x2.3.2低于。
因此，该应用程序受到多个漏洞的影响：

- containerd 的 CRI 检查点导入进程包含一个漏洞，其无法验证检查点图像配置内指定的图像引用。具有创建 pod 权限的攻击者可利用特制的检查点图像，强制 containerd 提取恶意图像，并为其分配任意本地标签，进而破坏节点的本地图像缓存。（CVE-2026-50195）

- 在 containerd 中发现一个缺陷，其中 CRI 插件在未验证符号链接路径的情况下从检查点图像还原container.log。这可能导致通过 kubectl 日志读取主机上的任意文件。
(CVE-2026-53489)

- containerd 的 CRI 实现错误信任在容器还原期间，在不受信任的检查点图像元数据中发现的容器设备接口（CDI）批注。从检查点还原容器时，containerd 会保留检查点存档中的 CDI 相关注释，而不是仅依赖 pod 的创建时间规范。这可让具有 pod 创建权限的用户绕过标准 Kubernetes 资源分配和设备插件执行，进而将任意 CDI 编辑注入还原的容器中。
(CVE-2026-53492)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。