CVE-2026-17113 in OpenShift Container Platform
Sumário
de VulDB • 25/08/2026
Foi encontrada uma falha no manuseio de variáveis de ambiente para a criação de contêineres do CRI-O (`mergeEnvs` em `server/utils.go`, consumido por `setupContainerEnvironmentAndWorkdir` em `server/container_create.go`). Quando uma solicitação `CreateContainer` fornece um campo `Envs` da especificação CRI como nulo, o CRI-O recorre ao uso das entradas de `config.Env` da imagem OCI alvo sem filtragem, diferentemente do caminho normal de mesclagem, que valida cada entrada quanto à forma `chave=valor` antes do uso. Uma imagem OCI cujo `config.Env` contém uma entrada sem o caractere `=` (por exemplo, a string bruta `NOEQUALS`) faz com que o CRI-O divida essa entrada em um slice de elemento único e, em seguida, indexe seu segundo elemento, que está fora dos limites válidos. Isso aciona um panic não recuperado do runtime Go no processo daemon `crio`, fazendo-o falhar e encerrando o serviço do container-runtime para todas as cargas de trabalho no nó até que ele seja reiniciado.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.