JVNDB-2026-022315

Linux Foundationのcontainerdにおける複数の脆弱性

containerdはオープンソースのコンテナランタイムです。バージョン2.3.2、2.2.5、2.1.9より前のバージョンでは、CRI実装が信頼できないチェックポイントイメージのメタデータ内にあるContainer Device Interface（CDI）注釈をコンテナの復元時に不適切に信頼していました。コンテナをチェックポイントから復元する際に、containerdはポッド作成時の仕様のみに依存せず、チェックポイントアーカイブからCDI関連の注釈を保持します。これにより、ポッド作成権限を持つユーザーが標準的なKubernetesのリソース割り当てやデバイスプラグインの適用を回避し、任意のCDI編集（デバイスノードやホストマウントなど）を復元されたコンテナに注入できるようになります。成功した攻撃には、ノードでCDIが有効化されており、要求されたデバイスに対応するホストCDI仕様が存在していることが必要です。CDIが無効化されている環境や敏感なデバイス仕様が存在しない環境は影響を受けません。この問題はバージョン2.3.2、2.2.5、2.1.9で修正されています。

Linux Foundation

• containerd 2.1.0 以上 2.1.9 未満
• containerd 2.2.0 以上 2.2.5 未満
• containerd 2.3.0 以上 2.3.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : CDI annotation smuggling during CRI checkpoint restore  Advisory  containerd/containerd  GitHub

1. 不適切な入力確認(CWE-20) [その他]
2. 不正な認証(CWE-863) [その他]

1. CVE-2026-53492

1. National Vulnerability Database (NVD) : CVE-2026-53492

• [2026年07月06日]
    掲載