CVE-2026-18107 in Red Hat
Zusammenfassung
von VulDB • 28.07.2026
Es wurde ein Fehler in der Behandlung von wiederstartbaren Sequenzen (rseq) durch CRIU während des Checkpoint-/Restore-Vorgangs festgestellt. Ein bösartiger Prozess innerhalb eines Containers kann eine kritische rseq-Sektion registrieren, die den Parasiten-Code-Injection von CRIU während des Checkpoints übernimmt und es ermöglicht, die im Checkpoint-Image gespeicherten Prozesstidentitätsdaten zu fälschen (Spoofing). Beim Restore erlangt der Containerprozess erhöhte Fähigkeiten (Capabilities) sowie auf Null gesetzte UIDs/GIDs.
Die praktische Auswirkung auf Red Hat Produkte ist durch mehrere Faktoren begrenzt: Das Erzeugen eines Checkpoints/Restore erfordert Root-Privilegien (podman) oder Cluster-Admin-RBAC (OpenShift), um ausgelöst zu werden, und kann nicht direkt aus dem Container heraus initiiert werden; bei OpenShift vor Version 4.17 war für die Funktion eine explizite Opt-in-Aktion erforderlich, und ab Version 4.17 ist das RBAC für die kubelet-Checkpoint-API standardmäßig nicht konfiguriert; OpenShift erzwingt standardmäßig User Namespaces für reguläre Workloads (hostUsers ist hinter nur Administratoren zugänglichen SCCs geschützt), wodurch die gefälschten Fähigkeiten auf den Namespace beschränkt bleiben und keine Privilegieneskalation ermöglichen; SELinux-Type Enforcement (container_t) blockiert Übergänge der Berechtigungen unabhängig von Capabilities; seccomp-Filter bestehen Checkpoint-/Restore-Vorgänge unbeschadet über und können nicht durch den Parasiten manipuliert werden; sowie die Ownership-Prüfungen des Kernel-Mount-Namespace auf RHEL 9/10-Kernels verhindern eine Container-Escape basierend auf Mounts, selbst bei gefälschten Capabilities.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.