概要
コンテナランタイム containerd において、コンテナのチェックポイント・リストア（CRIU）操作時の CDI（Container Device Interface）アノテーション処理に脆弱性が確認されました。
containerd の CRI（Container Runtime Interface）チェックポイント・リストア処理では、保存されたコンテナの CDI アノテーションが適切に検証されないまま使用されます。これにより、悪意のあるチェックポイントアーカイブに含まれる CDI アノテーションをスマグリング（密輸）し、リストア時に意図しない CDI デバイスをコンテナに注入できます。
本脆弱性は、containerd のチェックポイント・リストア機能を使用しているコンテナ環境に影響します。特に Kubernetes 環境でチェックポイント機能を有効化している場合に注意が必要です。
重大度情報
| 指標 | 値 |
|---|---|
| 分類元 | GitHub Advisory Database (GHSA) |
| 深刻度 | High |
| CVSSスコア | 詳細未公開（GHSA High 相当: 7.0〜8.9） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン | 修正バージョン |
|---|---|---|---|
| containerd/v2 | containerd | < 2.1.9 | 2.1.9 |
| containerd/v2 | containerd | < 2.2.5 | 2.2.5 |
| containerd/v2 | containerd | < 2.3.2 | 2.3.2 |
修正バージョンと回避策
修正バージョン: containerd v2.1.9 / v2.2.5 / v2.3.2
推奨対応:
- 使用している containerd v2 系のバージョンに応じた修正バージョンへアップデートする
- チェックポイント・リストア機能を使用していない場合はリスクは低い
関連リンク
データソース: GitHub Advisory Database (GHSA)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。