In der weit verbreiteten Container-Runtime containerd wurden drei Sicherheitslücken entdeckt, die Kubernetes-Umgebungen gefährden. Die kritischste, CVE-2026-5348 (CVSS 9.4), erlaubt die Ausführung beliebiger Befehle auf dem Host. Containerd wird unter anderem von Kubernetes, Google GKE, Amazon EKS und Azure AKS sowie intern von Docker genutzt.
CVE-2026-5348: Beliebige Host-Befehle ausführbar
Das CRI-Plugin von containerd, das für die Kommunikation zwischen Kubernetes und der Runtime zuständig ist, übertrug in Versionen vor 1.7.33, 2.3.2, 2.2.5, 2.1.9 und 2.0.10 Image-Labels ohne Validierung auf Container. Nutzen Plugins diese Labels für bestimmte Operationen, kann ein Angreifer darüber beliebige Befehle auf dem Host ausführen. Die genannten Versionen enthalten den Fix.
CVE-2026-53492: Ressourcenkontrolle umgehbar
Mit CVSS 8.4 ebenfalls ernst zu nehmen ist CVE-2026-53492. Bei der Wiederherstellung eines Containers aus einem Checkpoint übernimmt containerd CDI-Annotationen aus dem Archiv statt aus der ursprünglichen Pod-Spezifikation. Ein Nutzer mit Pod-Erstellungsrechten kann damit die Kubernetes-Ressourcenzuweisung und Device-Plugin-Vorgaben umgehen. Voraussetzung ist, dass CDI auf dem betreffenden Node aktiviert ist. Betroffen sind die Versionen 2.1.0 bis 2.1.8, 2.2.0 bis 2.2.4 und 2.3.0 bis 2.3.1.
CVE-2026-53489: Zugriff auf beliebige Host-Dateien
CVE-2026-53489 (CVSS 8.2) betrifft ebenfalls die Container-Wiederherstellung. Ein manipulierter symbolischer Link für container.log sorgt dafür, dass kubectl logs statt des Container-Logs eine beliebige Host-Datei ausliest, etwa Konfigurationsdateien oder Zugangsdaten. Alle drei Lücken werden durch ein Update auf die jeweils gepatchten containerd-Versionen geschlossen.