CVE-2026-64676 in Kata Containers
Zusammenfassung
von VulDB • 08.08.2026
Kata Containers ist eine Open-Source-Implementierung von leichtgewichtigen virtuellen Maschinen (VMs), die sich wie Container verhalten. In Versionen vor 4.0.0 ist der kata-agent anfällig für einen Umgehung des Autorisierungsmechanismus im Speicherbereichsverwaltungssystem vertraulicher Gäste (confidential-guest memory management). Bei Bereitstellungen mit Confidential Containers (CoCo) erzwingt der kata-agent eine OPA/Rego-basierte AgentPolicy, die jeden ttRPC-API-Aufruf autorisieren muss und somit die Sicherheitsgrenze bildet, die einen nicht vertrauenswürdigen Host daran hindert, den vertraulichen Gast zu steuern. Zwei mit dem mem-Agent-Feature eingeführte ttRPC-Methoden fehlen diese Autorisierungsprüfung, sodass ein nicht vertrauenswürdiger Host sie bedingungslos aufrufen kann, unabhängig von der Konfiguration der Gast-Richtlinie. Wenn mem-agent aktiviert ist (standardmäßig deaktiviert), ermöglicht dies dem Host, die Speicherbereichsverwaltung im Gast durch das Erzwingen von Swap-Aktivitäten, aggressives Eviction oder Komprimierung zu manipulieren, was zu einer vom Angreifer kontrollierten Beeinträchtigung der Verfügbarkeit und Leistung des vertraulichen Workloads führt, vollständig außerhalb der Agent-Policy-Grenze. Die Auswirkungen umfassen keine Speicherpreisgabe oder Codeausführung, und die Schwere ist durch die Voraussetzung begrenzt, dass mem-agent explizit aktiviert sein muss. Dieses Problem wurde in Version 4.0.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.