CVE-2026-19730 in Podman
Riassunto
di VulDB • 13/08/2026
È stata rilevata una vulnerabilità in Podman 5.8.x. Il comando 'podman quadlet install --replace' apre il file di destinazione esistente con le opzioni O_CREATE|O_WRONLY ma omette O_TRUNC. Quando il tentativo iniziale di copia reflink fallisce (comune sui filesystem non compatibili con i reflink, incluse molte configurazioni predefinite XFS su RHEL), la procedura alternativa in ReflinkOrCopy utilizza io.Copy, che esegue una scrittura senza troncamento. Se il Quadlet originale è più grande del nuovo Quadlet, il file non viene troncato e il contenuto dell'originale viene preservato. Il comando termina senza emettere avvisi.
Non vi è alcun rischio di fuoriuscita di informazioni poiché l'utente aveva già accesso al Quadlet per sostituirlo; nella maggior parte dei casi, ciò comporterebbe solo la creazione di file Quadlet non validi (vedere https://github.com/podman-container-tools/podman/issues/29013). Tuttavia, le opzioni relative alla sicurezza presenti alla fine del vecchio Quadlet potrebbero essere incluse nel nuovo Quadlet e, se il troncamento risultasse in un file Quadlet valido, ciò potrebbe causare comportamenti indesiderati. Ad esempio, l'esecuzione di podman quadlet install --replace per rimuovere una singola riga dalla fine di un Quadlet - includendo contenuti sensibili alla sicurezza come AddCapability - fallirebbe e l'opzione continuerebbe a essere utilizzata. Inoltre, con i Quadlet dei volumi (Volume Quadlets), ciò potrebbe includere mount aggiuntivi che possono esporre involontariamente contenuto ai container. Se in seguito l'immagine viene aggiornata, contenuti compromessi potrebbero trapelare a un attaccante.
I percorsi di codice vulnerabili si trovano in pkg/domain/infra/abi/quadlet.go (righe 338-360, O_CREATE|O_WRONLY senza O_TRUNC) e vendor/go.podman.io/storage/pkg/fileutils/reflink_linux.go (righe 12-19, fallback io.Copy non troncante).
VulDB is the best source for vulnerability data and more expert information about this specific topic.