Уязвимость произвольной записи файлов в Podman при импорте OCI-архива (CVE-2025-11395)
В Podman обнаружена уязвимость CVE-2025-11395, позволяющая злоумышленнику записывать произвольные файлы на хост-машину при импорте специально сформированного tar-архива через команду `podman load`. Проблема затрагивает ряд продуктов Red Hat, включая RHEL 8/9/10 и OpenShift Container Platform 4. Уровень опасности — средний (CVSS 5.5).
Подробности
Уязвимость затрагивает команду `podman load`, предназначенную для загрузки образов из архивов. Если атакующий может передать специально сформированный tar-архив на обработку этой команде, он способен создать файлы на хост-машине с правами пользователя, запускающего Podman. Это классический сценарий атаки типа path traversal (обход каталога), при котором вредоносные записи в архиве содержат пути, выводящие за пределы ожидаемой директории распаковки. Согласно данным CVE Project, под угрозой находятся следующие продукты Red Hat: - Red Hat Enterprise Linux 8, 9 и 10; - Red Hat Hardened Images; - Red Hat OpenShift Container Platform 4; - Red Hat OpenShift Dev Spaces. Оценка CVSS 5.5 отражает необходимость взаимодействия с пользователем (жертва должна запустить `podman load` с вредоносным архивом) и ограниченные последствия — запись файлов происходит с привилегиями текущего пользователя, а не с правами root. Тем не менее, в ряде сценариев это может привести к компрометации конфигураций, подмене исполняемых файлов в домашнем каталоге или подготовке почвы для дальнейших атак с повышением привилегий.Что делать
Основная рекомендация — как можно скорее обновить Podman до версии, содержащей исправление, а также установить актуальные пакеты для затронутых продуктов Red Hat. Следите за официальными бюллетенями безопасности Red Hat (RHSA) и репозиториями дистрибутивов. Если обновление невозможно в краткосрочной перспективе, применяйте следующие меры предосторожности: - не запускайте `podman load` с архивами, полученными из недоверенных источников; - проверяйте содержимое tar-архивов перед импортом (например, командой `tar -tf` и анализом путей на наличие `../` и абсолютных путей); - ограничьте права пользователей, имеющих доступ к Podman, и рассмотрите запуск контейнерных операций в изолированном окружении; - используйте rootless-режим Podman, чтобы минимизировать возможный ущерб. Также рекомендуется мониторить подозрительную активность записи файлов в нестандартные каталоги при операциях с образами контейнеров. Итог: CVE-2025-11395 — умеренно опасная уязвимость, эксплуатация которой требует участия пользователя, но способная привести к записи произвольных файлов на хост. Своевременное обновление Podman и осторожность при работе с внешними OCI-архивами сводят риск к минимуму.Источник: CVE Project (cvelistV5)