CVE-2026-100833: Edgelesssys Contrast: substituição de imagem de contêiner via geração de política (anterior a 1.23.1)

Visão geral

As versões do Edgelesssys Contrast de 1.14.0 até antes de 1.23.1 geram políticas de execução que não detectam todas as substituições de imagens de contêiner. Segundo o registro, a causa é uma regra allow_storage, introduzida acidentalmente em um rebase incorreto de uma atualização do Kata Containers, que aceita entradas de armazenamento com o driver image_guest_pull sem verificar o digest da imagem. O CNA é a VulnCheck e o registro classifica o problema como CWE-20, Validação Incorreta de Entrada.

Impacto

• As garantias de integridade de contêineres confidenciais podem ser comprometidas caso uma imagem seja substituída.
• O registro indica que a substituição ainda precisa satisfazer as demais regras da política para ter êxito.
• O modelo de ameaças citado presume um ator com acesso à API do agente Kata, como um administrador de cluster Kubernetes.
• A pontuação base CVSS informada pela VulnCheck é 9,6 (crítica) e o impacto técnico no SSVC está indicado como total.

Produtos e versões afetadas

• Edgelesssys Contrast de 1.14.0 até antes de 1.23.1.
• O registro não traz uma lista explícita de versões corrigidas. O limite superior da faixa sugere que 1.23.1 é a primeira versão não afetada, o que é uma inferência a partir dos dados de faixa.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto essa fonte não confirma exploração ativa. O campo de exploração do SSVC está como none e o campo automatizável como no. Não há exploração confirmada nas fontes consultadas.

Correção e mitigação

• Identifique todas as implantações do Contrast e verifique se a versão em execução está na faixa afetada.
• Atualize para a versão 1.23.1 ou superior, consultando o aviso do fornecedor para a orientação oficial de correção.
• Revise as políticas de execução geradas por versões afetadas e gere-as novamente após a atualização, pois políticas antigas podem conter a regra defeituosa.
• Restrinja o acesso à API do agente Kata e limite os privilégios administrativos do cluster para reduzir quem poderia adulterar imagens.

Orientações de detecção

• Audite as regras de política relacionadas a armazenamento que usam o driver image_guest_pull e confirme que os digests das imagens são verificados.
• Compare os digests das imagens implantadas com os registrados em metadados confiáveis de build ou registro.
• Revise os registros de acesso administrativo à API do agente Kata e às cargas de trabalho do cluster em busca de alterações inesperadas.

Limitações das informações disponíveis

• O registro não descreve as condições exatas em que uma imagem substituída passaria pelas demais regras da política.
• Não há versão corrigida explícita nem identificador de correção no campo de correções do registro.
• A probabilidade EPSS é baixa (0,00234), mas essa pontuação não confirma se há exploração.
• Detalhes do aviso do fornecedor além do registro não são incluídos aqui.

Perguntas frequentes

Quais versões são afetadas?

O registro lista o Edgelesssys Contrast de 1.14.0 até antes de 1.23.1 como afetado. Versões fora dessa faixa não são listadas como afetadas no registro.

Esta vulnerabilidade está sendo explorada na prática?

O registro indica que a CVE não consta no catálogo KEV da CISA e que o campo de exploração do SSVC está como none. Não há exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.