Уязвимость в crun CVE-2026-88265: подмена /dev/null через symlink ведёт к записи и chown на хосте
В crun обнаружена уязвимость CVE-2026-88265 со средним уровнем опасности (CVSS 5.6): после pivot_root повторное открытие /dev/null для stdio может пройти по symlink и подключить файл хоста к потокам контейнера, включая смену его владельца. Под угрозой конфигурации без монтирования свежего /dev, в том числе среды Red Hat и OpenShift. Исправленной версии пока нет.
Подробности
Уязвимость связана с обработкой специального файла /dev/null при повторном открытии стандартных потоков ввода-вывода (stdio) контейнера. По описанию, после выполнения pivot_root повторное открытие /dev/null для stdio может последовать по символической ссылке (symlink) и подключить файл хост-системы к stdio контейнера. Далее уязвимость позволяет изменить владельца (chown) этого файла на хосте. Затрагиваются версии crun 1.29.1 и более ранние. Уязвимость классифицируется как MEDIUM с базовой оценкой CVSS 5.6. Важное уточнение из описания: конфигурации по умолчанию, в которых монтируется свежий /dev, воздействию не подвержены. Это ограничивает круг потенциально уязвимых сценариев, однако нетиповые или ослабленные конфигурации могут создавать риск. Среди перечисленных в записи затронутых продуктов: - Red Hat Hardened Images; - Red Hat Enterprise Linux 8, 9 и 10; - Red Hat OpenShift Container Platform 4. Следует учитывать, что перечисление в записи CVE отражает продукты, для которых проводилась оценка влияния, и не обязательно означает уязвимость всех конфигураций этих продуктов. На момент публикации исправленной версии (fixed release) не выпущено.Что делать
Поскольку официального патча пока нет, рекомендуется опираться на компенсирующие меры: 1. Убедиться, что в конфигурациях контейнеров монтируется свежий экземпляр /dev — такие конфигурации по умолчанию не подвержены уязвимости. 2. Пересмотреть нестандартные или ослабленные настройки, где /dev может наследоваться или подменяться, и по возможности исключить подобные сценарии. 3. Ограничить возможность создания символических ссылок и манипуляций с путями внутри контейнеров, где это применимо. 4. Следить за обновлениями crun и рекомендациями дистрибьюторов (Red Hat, поставщики OCI-сред) — установить исправленную версию сразу после её выпуска. 5. Использовать инструменты контроля целостности и мониторинга изменений владельцев критичных файлов на хостах, где запускаются контейнеры. Для сред Red Hat и OpenShift целесообразно отслеживать официальные бюллетени безопасности вендора. Итог: CVE-2026-88265 — умеренно опасная уязвимость crun, позволяющая при определённых конфигурациях повлиять на файлы хост-системы через подмену /dev/null. Конфигурации со свежим /dev по умолчанию защищены, но исправления пока нет, поэтому основная защита сегодня — корректные настройки и мониторинг до выхода патча.Источник: CVE Project (cvelistV5)