Containerd: Einbindung von Funktionen aus nicht vertrauenswürdiger Quelle (CVE-2026-50195)

Was ist betroffen, was ist zu tun

containerd ist ein quelloffener Container-Laufzeitumgebungsdienst. Versionen vor 2.3.2, 2.2.5 und 2.1.9 enthalten eine Schwachstelle im CRI-Checkpoint-Importprozess, bei der die Validierung der in der Konfiguration des Checkpoint-Bildes angegebenen Bildreferenzen fehlschlägt.

Aktualisieren Sie containerd auf Version 2.3.2.

Betroffen

• Containerd gte 2.1.0, < 2.1.9..*

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

containerd ist ein quelloffener Container-Laufzeitumgebungsdienst. Versionen vor 2.3.2, 2.2.5 und 2.1.9 enthalten eine Schwachstelle im CRI-Checkpoint-Importprozess, bei der die Validierung der in der Konfiguration des Checkpoint-Bildes angegebenen Bildreferenzen fehlschlägt. Ein Angreifer mit Berechtigungen zum Erstellen von Pods kann ein manipuliertes Checkpoint-Bild verwenden, um containerd dazu zu zwingen, ein bösartiges Bild herunterzuladen und ihm einen beliebigen lokalen Tag zuzuweisen, wodurch der lokale Bild-Cache des Knotens vergiftet wird. Anschließend werden andere Pods auf demselben Knoten, die versuchen, den vergifteten Tag mit einer Pull-Richtlinie "IfNotPresent" (oder "Never") zu verwenden, unwissentlich das bösartige Bild des Angreifers ausführen anstelle des legitimen. Dies kann zur Kompromittierung der betroffenen Pods führen und dem Angreifer ermöglichen, unter der Identität des Opfer-Pods beliebigen Code auszuführen. Dieses Problem wurde in den Versionen 2.3.2, 2.2.5 und 2.1.9 behoben.

Quelle: Ubuntu Security Notices, redhat_csaf, BSI WID Portal, BSI CSAF, OSV (Open Source Vulnerabilities), GitHub Security Advisories, cvelistv5, NVD (NIST), CVE.org (MITRE)

Hersteller und Produkte

• Containerd Containerd
• Go Github.com/containerd/containerd/v2
• Google Cloud Platform
• Harbor The Linux Foundation containerd

Weakness-Klassen (CWE)

• CWE-345Insufficient Verification of Data Authenticity

  Class

  The product does not sufficiently verify the origin or authenticity of data, in a way that causes it to accept invalid data.

  Eintrag bei MITRE CWE-345

• CWE-829Inclusion of Functionality from Untrusted Control Sphere

  Base

  The product imports, requires, or includes executable functionality (such as a library) from a source that is outside of the intended control sphere.

  Eintrag bei MITRE CWE-829

Quellen & Referenzen

• github.comcontainerd/containerd/security/advisories/GHSA-cvxm-645q-p574web, x_refsource_CONFIRM
• NVD (NIST)vuln/detail/CVE-2026-50195advisory
• github.comcontainerd/containerdpackage

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 02.07.2026Erstanalyse durch die NVDNVD

   Neu als betroffen eingetragen:

   • Harbor The Linux Foundation containerd (2.1.0 – vor 2.1.9; 2.2.0 – vor 2.2.5; 2.3.0 – vor 2.3.2)

   CVSS V3.1: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

   Neue Referenzen:

   • https://github.com/containerd/containerd/security/advisories/GHSA-cvxm-645q-p574
   3 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   CVSS	ergänzt	—	AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
   Produktkonfiguration	ergänzt	—	OR *cpe:2.3:a:linuxfoundation:containerd:*:*:*:*:*:*:*:* versions from (including) 2.1.0 up to (excluding) 2.1.9 *cpe:2.3:a:linuxfoundation:containerd:*:*:*:*:*:*:*:* versions from (including) 2.2.0 up to (excluding) 2.2.5 *cpe:2.3:a:linuxfoundation:containerd:*:*:*:*:*:*:*:* versions from (including) 2.3.0 up to (excluding) 2.3.2
   Referenztyp	ergänzt	—	GitHub, Inc.: https://github.com/containerd/containerd/security/advisories/GHSA-cvxm-645q-p574 Types: Mitigation, Vendor Advisory

   Kennung der Quelle: nvd@nist.gov

2. 01.07.2026Neu erfasstGitHub

   CVSS V4.0: AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:L/VA:N/SC:H/SI:H/SA:L

   Schwachstellentyp: CWE-345, CWE-829

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://github.com/containerd/containerd/security/advisories/GHSA-cvxm-645q-p574
   6 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Betroffene Versionen (Herausgeber)	ergänzt	—	containerd
   Beschreibung	ergänzt	—	containerd is an open-source container runtime. Versions prior to 2.3.2, 2.2.5 and 2.1.9 contain a vulnerability in the CRI checkpoint import process where it fails to validate the image references specified within a checkpoint image's configuration. An attacker with permissions to create pods can use a crafted checkpoint image to force containerd to pull a malicious image and assign it an arbitrary local tag, thereby poisoning the node's local image cache. Subsequently, if other pods on the same node attempt to use the poisoned tag with an IfNotPresent (or Never) pull policy, they will unknowingly execute the attacker's malicious image instead of the legitimate one. This can lead to a compromise of the affected pods, allowing the attacker to execute arbitrary code under the victim pod's identity. This issue has been fixed in versions 2.3.2, 2.2.5 and 2.1.9.
   CVSS	ergänzt	—	AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:L/VA:N/SC:H/SI:H/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
   Schwachstellentyp (CWE)	ergänzt	—	CWE-345
   Schwachstellentyp (CWE)	ergänzt	—	CWE-829
   Referenz	ergänzt	—	https://github.com/containerd/containerd/security/advisories/GHSA-cvxm-645q-p574

   Kennung der Quelle: security-advisories@github.com

3. 01.07.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: keine bekannt, automatisierbar: nein

   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-50195","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-07-01T18:32:22.918998Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

Verknüpfte Advisories

• @RISK®: The Consensus Security Vulnerability Alert: Vol. 26, Num. 26SANS @RISK09.07.2026