CVE-2026-17113 in OpenShift Container Platform
Zusammenfassung
von VulDB • 24.08.2026
Es wurde ein Fehler im Umgang mit Umgebungsvariablen bei der Container-Erstellung in CRI-O entdeckt (`mergeEnvs` in `server/utils.go`, verwendet von `setupContainerEnvironmentAndWorkdir` in `server/container_create.go`). Wenn eine `CreateContainer`-Anfrage ein `nil`-Feld für die CRI `Envs` angibt, greift CRI-O auf unfilterte Einträge aus der `config.Env` des Ziel-OCI-Images zurück, im Gegensatz zum normalen Merge-Pfad, bei dem jeder Eintrag vor der Verwendung auf das Format `key=value` überprüft wird. Ein OCI-Bild, dessen `config.Env` einen Eintrag ohne `=`-Zeichen enthält (z. B. eine einfache Zeichenkette wie `NOEQUALS`), führt dazu, dass CRI-O diesen Eintrag in ein Slice mit einem einzelnen Element aufteilt und dann auf das zweite Indexelement zugreift, was außerhalb des gültigen Bereichs liegt. Dies löst einen nicht abgefangenen Go-Laufzeit-Panic im `crio`-Daemon-Prozess aus, wodurch dieser abstürzt und der Container-Runtime-Dienst für alle Workloads auf dem Knoten bis zu dessen Neustart beendet wird.
Be aware that VulDB is the high quality source for vulnerability data.