CVE-2026-24054: Kata Containers: tratamento impróprio de rootfs vazio causa hotplug de dispositivo de bloco no host

Visão geral

O Kata Containers é um projeto de código aberto que implementa máquinas virtuais leves que se comportam como contêineres. Segundo o aviso de segurança do GitHub, quando uma imagem de contêiner está malformada ou não possui camadas, o containerd pode recorrer à montagem por bind de um diretório vazio do snapshotter como sistema de arquivos raiz do contêiner. O runtime Kata pode então interpretar essa montagem como um dispositivo de bloco e conectar o dispositivo subjacente ao convidado via hotplug.

Impacto

O aviso afirma que isso pode causar erros em nível de sistema de arquivos no host, devido à alocação dupla de inodes, e pode levar ao dispositivo de bloco do host ser montado como somente leitura. O registro associa a fraqueza ao CWE-754, Verificação Imprópria de Condições Incomuns ou Excepcionais. O vetor do NVD indica ausência de impacto na confidencialidade, alto impacto na integridade e na disponibilidade, com escopo alterado.

Produtos e versões afetadas

Versões do Kata Containers anteriores à 3.26.0, conforme listado no registro como menores que 3.26.0.
A versão 3.26.0 é apontada como contendo um patch para o problema.
O registro lista referências de patch no código do snapshotter overlay do containerd, mas não informa quais versões do containerd são afetadas ou corrigidas.

Status de exploração

O registro indica que o problema não está listado no KEV e que nenhuma exploração confirmada aparece nas fontes consultadas. Uma referência está marcada como Exploit no registro, mas o registro não descreve qualquer exploração no mundo real. Dados de EPSS e SSVC não estão presentes no registro.

Correção e mitigação

Atualize o Kata Containers para a versão 3.26.0 ou posterior, conforme indicado pelo aviso.
Verifique a versão do containerd em uso e consulte a referência do código overlay do containerd e o commit de correção ao planejar atualizações.
Enquanto não houver correção, restrinja as cargas de trabalho a imagens confiáveis e valide se as imagens contêm as camadas esperadas antes da implantação.

Orientações de detecção

Monitore os convidados Kata em busca de eventos inesperados de hotplug de dispositivos de bloco associados à montagem do rootfs do contêiner.
Acompanhe os logs do host em busca de erros de sistema de arquivos ou remontagens inesperadas como somente leitura de dispositivos de bloco.
Inclua verificações nos pipelines de imagens que sinalizem imagens sem camadas ou com manifestos malformados.

Limitações das informações disponíveis

O registro não informa as versões exatas do containerd afetadas ou corrigidas, nem detalha as condições de reprodução. As pontuações CVSS diferem entre fontes: o NVD lista CVSS 3.1 com pontuação 10, enquanto o GitHub, como CNA, lista CVSS 4.0 com pontuação 8.8. Não há dados de EPSS ou SSVC, portanto a probabilidade de exploração é desconhecida.

Perguntas frequentes

Quais versões do Kata Containers são afetadas pela CVE-2026-24054?

O registro indica que as versões anteriores à 3.26.0 são afetadas. A versão 3.26.0 é apontada como contendo um patch para o problema.

Há registro de exploração no mundo real?

O registro mostra que o problema não está listado no KEV e que nenhuma exploração confirmada aparece nas fontes consultadas. O registro não descreve atividade no mundo real.

O que os administradores devem fazer agora?

Atualize o Kata Containers para a versão 3.26.0 ou posterior, verifique as versões do containerd em uso e restrinja as cargas de trabalho a imagens confiáveis com as camadas esperadas até a correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.