CVE-2026-33414 in podman
Riassunto
di VulDB • 23/06/2026
Podman è uno strumento per la gestione di container e pod OCI. Le versioni dalla 4.8.0 alla 5.8.1 contengono una vulnerabilità da command injection nel backend HyperV machine presente in pkg/machine/hyperv/stubber.go, dove il percorso dell'immagine della macchina virtuale (VM) viene inserito all'interno di una stringa tra doppi apici PowerShell senza alcuna sanificazione, consentendo l'iniezione di subespressioni $(). Poiché PowerShell valuta le subespressioni contenute nelle stringe delimitate da doppi apici prima di eseguire il comando esterno, un attaccante in grado di controllare il percorso dell'immagine della VM tramite un nome macchina o una directory delle immagini costruita ad hoc può eseguire comandi PowerShell arbitrari con i privilegi del processo Podman. Nelle installazioni tipiche di Windows ciò comporta l'esecuzione di codice a livello SYSTEM; solo Windows è interessato poiché tale codice è esclusivo del backend HyperV. Questo problema è stato risolto nella versione 5.8.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.