CVE-2026-17113 in OpenShift Container Platform
要約
〜によって VulDB • 2026年08月25日
CRI-Oのコンテナ作成時の環境変数処理（`server/utils.go`内の`mergeEnvs`、および`server/container_create.go`内の`setupContainerEnvironmentAndWorkdir`によって使用される）に欠陥が見つかった。`CreateContainer`リクエストでCRI `Envs`フィールドがnilの場合、CRI-Oは通常のマージパスのように各エントリを`key=value`形式として検証するのではなく、対象のOCIイメージの`config.Env`エントリを検証せずにそのまま使用してしまう。OCIイメージの`config.Env`に`=`文字を含まないエントリ（例：単なる`NOEQUALS`という文字列）が含まれていると、CRI-Oはそのエントリを1要素のスライスとして分割し、その後その2番目のインデックスにアクセスしようとするが、これは範囲外である。これにより、`crio`デーモンプロセスで回復不可能なGoランタイムパニックが発生し、プロセスがクラッシュしてノード上のすべてのワークロードに対してコンテナランタイムサービスが停止する（再起動されるまで）。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.