CVE-2026-53488

Plugin CRI (Container Runtime Interface) w containerd przepisuje etykiety zdefiniowane w konfiguracji obrazu (instrukcja LABEL w Dockerfile) bezpośrednio do metadanych uruchamianego kontenera bez ich walidacji poprawności ani bezpieczeństwa. Jeśli w środowisku działa jakikolwiek plugin lub komponent konsumujący etykiety kontenerów w celu wykonania operacji, specjalnie spreparowane etykiety osadzone w złośliwym obrazie mogą zostać zinterpretowane jako polecenia do wykonania. W rezultacie atakujący kontrolujący treść obrazu może doprowadzić do wykonania arbitralnego polecenia na systemie hosta.

Atakujący może wykonać dowolne polecenie na hoście, na którym uruchamiany jest kontener (RCE), co skutkuje pełnym przejęciem kontroli nad węzłem — naruszeniem poufności, integralności i dostępności zarówno systemu hosta, jak i innych kontenerów.

Należy zaktualizować containerd do wersji 1.7.33, 2.0.10, 2.1.9, 2.2.5 lub 2.3.2 (w zależności od używanej gałęzi). Do czasu aktualizacji zaleca się uruchamianie wyłącznie zaufanych obrazów kontenerów pochodzących z weryfikowanych źródeł.

containerd (Linux Foundation) w wersjach wcześniejszych niż 1.7.33, 2.0.10, 2.1.9, 2.2.5 oraz 2.3.2

Podatność dotyczy wyłącznie środowisk korzystających z pluginu CRI oraz dodatkowych pluginów lub komponentów, które przetwarzają etykiety kontenerów w celu wykonywania operacji na hoście. Szczegóły dostępne w oficjalnym security advisory: GHSA-xhf5-7wjv-pqxp.