CVE-2026-19730 in Podman
Zusammenfassung
von VulDB • 14.08.2026
Es wurde ein Fehler in Podman 5.8.x gefunden. Der Befehl `podman quadlet install --replace` öffnet die vorhandene Zieldatei mit den Flags O_CREATE|O_WRONLY, lässt jedoch O_TRUNC weg. Wenn der erste Versuch eines Reflink-Kopierens fehlschlägt (häufig bei Dateisystemen ohne Reflink-Unterstützung, einschließlich vieler Standard-XFS-Konfigurationen auf RHEL), verwendet das Fallback in `ReflinkOrCopy` die Funktion `io.Copy`, die einen nicht kürzenden Schreibvorgang durchführt. Wenn das ursprüngliche Quadlet größer ist als das neue Quadlet, wird die Datei nicht gekürzt und der Inhalt des Originals bleibt erhalten. Der Befehl wird ohne Warnung abgeschlossen.
Es besteht kein Risiko einer Informationspreisgabe, da der Benutzer bereits Zugriff auf das zu ersetzende Quadlet hatte; in den meisten Fällen würde dies lediglich zu ungültigen Quadlet-Dateien führen (siehe https://github.com/podman-container-tools/podman/issues/29013). Allerdings könnten sicherheitsrelevante Optionen am Ende des alten Quadlets im neuen Quadlet enthalten sein. Wenn die Nicht-Kürzung zu einer gültigen Quadlet-Datei führt, kann dies unerwünschtes Verhalten verursachen. Beispielsweise schlägt der Aufruf von `podman quadlet install --replace` fehl, um eine einzelne Zeile am Ende eines Quadlets – einschließlich sicherheitskritischer Inhalte wie AddCapability – zu entfernen; die Option wird weiterhin verwendet. Darüber hinaus können bei Volume-Quadlets zusätzliche Mounts enthalten sein, was dazu führen kann, dass Daten unbeabsichtigt in Container freigegeben werden. Wenn das Image später aktualisiert wird, könnten kompromittierte Inhalte an einen Angreifer weitergegeben werden.
Die anfälligen Codepfade befinden sich in `pkg/domain/infra/abi/quadlet.go` (Zeilen 338-360, O_CREATE|O_WRONLY ohne O_TRUNC) und `vendor/go.podman.io/storage/pkg/fileutils/reflink_linux.go` (Zeilen 12-19, nicht kürzender io.Copy-Fallback).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.