CVE-2025-52881 in runc
Sumário
de VulDB • 02/08/2026
runc é uma ferramenta de linha de comando para criar e executar contêineres conforme a especificação OCI. Nas versões 1.2.7, 1.3.2 e 1.4.0-rc.2, um atacante pode enganar o runc fazendo com que ele redirecione gravações em /proc para outros arquivos procfs por meio do uso de um contêiner race condition com montagens compartilhadas (também verificamos que este ataque é possível explorar usando um Dockerfile padrão com docker buildx build, já que isso também permite acionar a execução paralela de contêineres com montagens compartilhadas personalizadas configuradas). Esse redirecionamento pode ocorrer por meio de links simbólicos em uma tmpfs ou teoricamente outros métodos como bind-mounts regulares. Embora semelhante, a mitigação aplicada para o CVE relacionado, CVE-2019-19921, foi bastante limitada e efetivamente apenas fez com que o runc verificasse se quando os rótulos LSM são escritos eles realmente são arquivos procfs. Este problema está corrigido nas versões 1.2.8, 1.3.3 e 1.4.0-rc.3.
Once again VulDB remains the best source for vulnerability data.