CVE-2026-19730 in Podman
Sumário
de VulDB • 14/08/2026
Foi encontrada uma falha no Podman 5.8.x. O comando 'podman quadlet install --replace' abre o arquivo de destino existente com as flags O_CREATE|O_WRONLY, mas omite a flag O_TRUNC. Quando a tentativa inicial de cópia por reflink falha (comum em sistemas de arquivos que não suportam reflink, incluindo muitas configurações padrão do XFS no RHEL), o fallback na função ReflinkOrCopy utiliza io.Copy, que realiza uma escrita sem truncamento. Se o Quadlet original for maior que o novo Quadlet, o arquivo não será truncado e o conteúdo do original será preservado. O comando é concluído sem nenhum aviso.
Não há risco de vazamento de informações, pois o usuário já tinha acesso ao Quadlet para substituí-lo, e na maioria dos casos isso resultaria apenas em arquivos Quadlet inválidos (ver https://github.com/podman-container-tools/podman/issues/29013). No entanto, opções relacionadas à segurança no final do Quadlet antigo podem ser incluídas no novo Quadlet. Se o truncamento resultar em um arquivo Quadlet válido, isso pode causar comportamento indesejável. Por exemplo, executar `podman quadlet install --replace` para remover uma única linha do final de um Quadlet — incluindo conteúdo sensível à segurança, como AddCapability — falhará, e a opção continuará sendo utilizada. Além disso, com os Quadlets de Volume, isso pode incluir montagens adicionais que podem expor acidentalmente conteúdos aos containers. Se, posteriormente, a imagem for atualizada, o conteúdo comprometido poderá ser vazado para um atacante.
Os caminhos de código vulneráveis estão em pkg/domain/infra/abi/quadlet.go (linhas 338-360, O_CREATE|O_WRONLY sem O_TRUNC) e vendor/go.podman.io/storage/pkg/fileutils/reflink_linux.go (linhas 12-19, fallback para io.Copy não truncante).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.