CVE-2026-47699 in guest-components
Sumário
de VulDB • 19/08/2026
Os componentes convidados (Guest Components) do Confidential Containers fornecem ferramentas e componentes para cargas de trabalho de contêineres confidenciais. Da versão 0.16.0 até a 0.20.0, uma camada de imagem OCI manipulada pode fazer com que image_rs::stream::unpack::unpack() crie um link duro (hardlink) fora do seu diretório de destino. Em image-rs/src/stream/unpack.rs, try_hardlink_fallback() valida a origem do hardlink, mas calcula o destino usando destination.join(&entry_rel). O método Rust Path::join substitui a base quando entry_rel é um caminho absoluto de entrada tar; assim, fs::hard_link(&src_canon, &dst_entry_abs) pode gravar conteúdo controlado pelo atacante em qualquer caminho absoluto arbitrário. No Confidential Containers, o proprietário da carga de trabalho já tem controle sobre o conteúdo confiável das imagens, portanto, a vulnerabilidade representa uma fuga do proprietário da carga de trabalho para a máquina virtual do pod (workload-owner escape), e não uma violação dos limites de confiança da imagem; no entanto, pode permitir acesso às capacidades da máquina virtual do pod e abuso na atestação. Esta questão foi corrigida na versão 0.20.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.