Docker/containerd/Podman Seite 2

containerd ist in den Versionen 0.1.0 bis 1.7.28, 2.0.0-beta.0 bis 2.0.6, 2.1.0-beta.0 bis 2.1.4 sowie 2.2.0-beta.0 bis 2.2.0-rc.1 von einer Schwachstelle durch zu weit gefasste Standardberechtigungen betroffen. Die Verzeichnispfade /var/lib/containerd, /run/containerd/io.containerd.grpc.v1.cri und /run/containerd/io.containerd.sandbox.controller.v1.shim wurden mit fehlerhaften Berechtigungen angelegt. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: Update auf 1.7.29, 2.0.7, 2.1.5 oder 2.2.0; als Workaround können die Berechtigungen manuell per chmod so angepasst werden, dass Gruppen- oder Weltzugriff entfällt, oder containerd im Rootless-Modus betrieben werden.

IBM Security Verify Access und IBM Security Verify Access Docker in den Versionen 10.0.0.0 bis 10.0.9.0 sowie 11.0.0.0 bis 11.0.1.0 könnten einem lokal authentifizierten Benutzer erlauben, bösartige Skripte ausserhalb seines Kontrollbereichs auszuführen. CVSS-Basiswert: 8.5 (Hoch).

IBM Security Verify Access sowie IBM Security Verify Access Docker in den Versionen 10.0.0.0 bis 10.0.9.0 und 11.0.0.0 bis 11.0.1.0 erlauben aufgrund unzureichender Validierung von Benutzereingaben einem nicht authentifizierten Angreifer die Ausführung beliebiger Befehle mit eingeschränkten Benutzerrechten. CVSS-Basiswert: 7.3 (Hoch).

containerd, ein quelloffener Container-Runtime, ordnet in den Versionen ab 2.0.1 bis vor 2.0.5 username-spaced Container nicht der Cgroup-Hierarchie von Kubernetes zu, wodurch bestimmte Kubernetes-Limits nicht eingehalten werden. Dies kann zu einem Denial of Service des betroffenen Kubernetes-Node führen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf containerd 2.0.5+ oder 2.1.0+; als Workaround können usernamespaced Pods in Kubernetes temporär deaktiviert werden.

IBM Security Verify Access Docker in den Versionen 10.0.0 bis 10.0.6 kann einem lokalen Benutzer die Erweiterung seiner Privilegien ermöglichen, weil Prozesse mit unnötig hohen Rechten ausgeführt werden. Laut CVSS-Vektor sind für den Angriff nur niedrige Privilegien und keine Benutzerinteraktion erforderlich; Vertraulichkeit, Integrität und Verfügbarkeit sind in hohem Mass betroffen. CVSS-Basiswert: 7.8 (Hoch). Betroffene Installationen sollten auf einen fehlerbereinigten Stand gemäss Herstellerangaben aktualisiert werden.

In Podman kann ein speziell präpariertes Container-Image ausgenutzt werden, wenn dieses so konfiguriert ist, dass es sich den IPC-Namespace mit mindestens einem weiteren Container teilt. Der bösartige Container erzeugt dabei eine grosse Zahl an IPC-Ressourcen in /dev/shm, bis das System den Container wegen Speichererschöpfung (OOM) beendet. Die erzeugten IPC-Ressourcen bleiben jedoch bestehen, solange ein weiterer, gutartiger Container denselben IPC-Namespace offenhält. Wird der bösartige Container automatisch neu gestartet, etwa über `podman run --restart=always`, wiederholt sich der Vorgang und der Speicherverbrauch steigt kontinuierlich an, bis ein Denial of Service des gesamten Systems eintritt. CVSS-Basiswert: 7.7 (Hoch).

In Docker Desktop vor Version 4.29.0 kann ein Angreifer, der durch einen Container-Breakout bereits Zugriff auf die Docker-Desktop-VM erlangt hat, durch das Versenden von Extension- und Dashboard-bezogenen IPC-Nachrichten zusätzlich auf den Host ausbrechen. CVSS-Basiswert: 7.0 (Hoch). Die Ausnutzung setzt voraus, dass die Einstellung „Allow only extensions distributed through the Docker Marketplace“ deaktiviert ist. Empfohlene Massnahme: Update auf Version 4.29.0 (behebt die Lücke) beziehungsweise 4.31.0 (aktiviert die schützende Einstellung standardmässig).

IBM Security Verify Access Docker (Versionen 10.0.0 bis 10.0.6) kann einem lokalen Benutzer aufgrund der Ausführung mit unnötigen Privilegien eine Rechteausweitung erlauben. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: auf eine vom Hersteller bereinigte Version aktualisieren.

IBM Security Verify Access Docker Version 10.0.0 bis 10.0.6 kann durch eine unsachgemässe Zertifikatsvalidierung einem lokalen Nutzer erlauben, seine Rechte auszuweiten. CVSS-Basiswert: 7.7 (Hoch).

Eine fehlende Berechtigungsprüfung an einem HTTP-Endpunkt im Jenkins docker-build-step Plugin 2.11 und älter erlaubt Angreifern mit Overall/Read-Recht, sich mit einer angreiferbestimmten TCP- oder Unix-Socket-URL zu verbinden und das Plugin über die Verbindungstest-Parameter umzukonfigurieren, was künftige Build-Schritte beeinflusst. CVSS-Basiswert: 8.8 (Hoch).

IBM Security Access Manager Container (IBM Security Verify Access Appliance und Docker 10.0.0.0 bis 10.0.6.1) könnte einem entfernten Angreifer über Man-in-the-Middle-Techniken Zugriff auf das darunterliegende System ermöglichen. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Verfügbares Sicherheitsupdate von IBM einspielen.

IBM Security Access Manager Container beziehungsweise IBM Security Verify Access (Appliance und Docker, Versionen 10.0.0.0 bis 10.0.6.1) erlauben einem Angreifer, durch unkontrollierten Ressourcenverbrauch einen Denial of Service auszulösen. Die Schwachstelle wird von IBM unter der X-Force-ID 254651 geführt. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

IBM Security Verify Access Container (IBM Security Verify Access Appliance und IBM Security Verify Access Docker, Versionen 10.0.0.0 bis 10.0.6.1) enthalten ein Benutzerkonto mit leerem Passwort. Dadurch kann sich ein entfernter Benutzer ohne gültige Zugangsdaten am Server anmelden. Die Schwachstelle ist bei IBM X-Force unter der ID 266154 erfasst. CVSS-Basiswert: 7.3 (Hoch).

IBM Security Access Manager Container (IBM Security Verify Access Appliance Version 10.0.0.0 bis 10.0.6.1 sowie IBM Security Verify Access Docker Version 10.0.0.0 bis 10.0.6.1) ist anfällig für eine XML External Entity Injection (XXE) bei der Verarbeitung von XML-Daten. Ein entfernter Angreifer kann dies ausnutzen, um vertrauliche Informationen offenzulegen oder Arbeitsspeicher-Ressourcen zu erschöpfen. CVSS-Basiswert: 7.1 (Hoch).

Der IBM Security Access Manager Container (IBM Security Verify Access Appliance 10.0.0.0 bis 10.0.6.1 sowie IBM Security Verify Access Docker 10.0.6.1) kann es einem lokalen Benutzer aufgrund unzureichender Zugriffskontrollen erlauben, Root-Zugriff zu erlangen. CVSS-Basiswert: 8.4 (Hoch).

Docker Desktop vor Version 4.12.0 ist für eine Remote-Code-Ausführung über eine präparierte Extension-Beschreibung oder ein präpariertes Changelog anfällig. CVSS-Basiswert: 8.0 (Hoch). Empfohlene Massnahme: auf Docker Desktop 4.12.0 oder neuer aktualisieren.

Docker Desktop vor Version 4.12.0 ist laut NVD anfällig für Remote-Code-Ausführung über Query-Parameter in der message-box-Route. CVSS-Basiswert: 8.0 (Hoch). Empfohlene Massnahme: Aktualisierung auf Docker Desktop 4.12.0 oder neuer.

Docker Desktop erlaubt in Versionen vor 4.23.0 den Diebstahl von Access Tokens über eine manipulierte Icon-URL einer Erweiterung. Ein Angreifer kann darüber an Zugangs-Token gelangen und diese missbrauchen. CVSS-Basiswert: 8 (Hoch). Empfohlene Massnahme: Aktualisierung von Docker Desktop auf Version 4.23.0 oder neuer.

Docker Desktop für Windows vor Version 4.12.0 ist anfällig für eine Argument-Injection im Installer, die zu einer lokalen Rechteausweitung führen kann. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf Docker Desktop 4.12.0 oder neuer.

Docker Desktop vor Version 4.23.0 erlaubt es einem nicht privilegierten Benutzer, die Beschränkungen der Enhanced Container Isolation (ECI) über die Debug-Shell zu umgehen, die für ein kurzes Zeitfenster nach dem Start von Docker Desktop erreichbar bleibt. Die betroffene Funktionalität steht nur Docker-Business-Kunden zur Verfügung und setzt eine Umgebung voraus, in der Benutzer keine lokalen Root- oder Administratorrechte besitzen. Betroffen sind Docker-Desktop-Versionen von 4.13.0 bis vor 4.23.0. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Update auf Docker Desktop 4.23.0 oder neuer einspielen.

Apache Log4j2 in den Versionen 2.0-alpha1 bis 2.16.0 (ausgenommen 2.12.3 und 2.3.1) schützt nicht vor unkontrollierter Rekursion durch selbstreferenzielle Lookups. Ein Angreifer mit Kontrolle über Thread-Context-Map-Daten kann damit einen Denial-of-Service auslösen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 100.0 %.

Für mehrere überwachte Produkte wurde eine Sicherheitslücke (CVE-2022-42889) gemeldet; laut den Quellen sind unter anderem SolarWinds, Axis, Docker/containerd/Podman und Matrix42 betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 99.9 %.

Für Arch-Produkte wurde eine Sicherheitslücke (CVE-2022-23648) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 27.4 %.

Docker, containerd und Podman führen CVE-2025-23266 in ihren Sicherheitsmeldungen auf. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 3.1 %.

Für Docker, containerd und Podman wurde laut Sicherheitsankündigungen eine Sicherheitslücke (CVE-2024-23653) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.0 %.

Für Docker/containerd/Podman-Produkte wurde eine Sicherheitslücke (CVE-2024-23652) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 2.1 %.

Docker/containerd/Podman führt CVE-2025-9074 in seinen Sicherheitsmeldungen. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.6 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Auf der Sicherheitshinweis-Seite von Docker/containerd/Podman ist unter dieser CVE-ID ein Eintrag verzeichnet, der auch Zoho betrifft. Konkrete technische Details zur Schwachstelle liegen in den vorliegenden Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt.

Docker/containerd/Podman führt CVE-2024-8696 in den Sicherheitsankündigungen; die Lücke betrifft laut Quelle auch Zoho. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Docker, containerd und Podman wurde eine Sicherheitslücke (CVE-2024-23650) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Für Docker, containerd und Podman wurde eine Sicherheitslücke (CVE-2024-23651) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

Presenton vor Version 0.8.8-beta bündelt einen MCP-Server, der bei Server-/Docker-Deployments mit Sitzungsauthentifizierung (AUTH_USERNAME/AUTH_PASSWORD) unauthentifiziert unter /mcp erreichbar ist. CVSS-Basiswert: 6.5 (Mittel). Eine aktive Ausnutzung über CISA KEV ist nicht bekannt. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 0.8.8-beta oder neuer aktualisieren.

Moby ist ein quelloffenes Container-Framework. Vor Version 29.3.1 besteht eine Schwachstelle, durch die sich die Validierung von Plugin-Berechtigungen während des Vorgangs docker plugin install umgehen lässt. Die Schwachstelle ist über das Netzwerk mit hoher Angriffskomplexität und Benutzerinteraktion ausnutzbar und beeinträchtigt Vertraulichkeit und Integrität. CVSS-Basiswert: 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Auf Moby 29.3.1 oder neuer aktualisieren.

Im docker-cp-Befehl von Docker besteht eine Schwachstelle, die es einem bösartigen Container erlaubt, Dateien auf dem Host zu erstellen oder zu überschreiben, auf dem die Docker-CLI läuft. Ursache ist laut Entdecker eine Race Condition bei der Archiverstellung in Kombination mit unsicherer Symlink-Behandlung während der Extraktion. Je nach Rechten des CLI-Nutzers kann dies zur Kompromittierung eines Entwickler-Kontos oder zu Code-Ausführung mit Root-Rechten führen. Docker hat bestätigt, dass auch der Befehl sbx cp betroffen ist. Empfohlene Massnahme: Aktualisierung auf Docker Engine/CLI 29.7.2+, Docker Desktop 4.86.0+ oder Docker Sandboxes 0.38.0+.

containerd ist eine quelloffene Container-Laufzeitumgebung. In Versionen vor 1.7.33, 2.0.10, 2.1.9, 2.2.5 und 2.3.2 kann ein bösartig präpariertes Image einen Denial of Service verursachen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf containerd 1.7.33, 2.0.10, 2.1.9, 2.2.5, 2.3.2 oder neuer aktualisieren.

In Podman (von Version 3.0.0 bis vor 5.7.1) kann das Ausführen eines bösartigen Container-Images, dessen WORKDIR-Pfad einen Symlink enthält, ein Verzeichnis anlegen oder Besitzverhältnisse verändern. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Auf der Sicherheitshinweis-Seite von Docker/containerd/Podman ist diese CVE-ID verzeichnet. Laut Zuordnung sind Docker/containerd/Podman und Zoho betroffen; konkrete technische Details zur Schwachstelle liegen in den vorliegenden Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt.

Für Docker, containerd oder Podman ist CVE-2026-28400 auf der Sicherheitshinweis-Seite des Herstellers verzeichnet; die Quelle enthält keine weiterführende technische Beschreibung der Schwachstelle. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Docker/containerd/Podman führt CVE-2025-13743 in den Sicherheitsmeldungen auf; laut Datenlage sind zudem Produkte von Zoho betroffen. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

containerd stellt in Versionen vor 2.3.2, 2.2.5 und 2.1.9 im CRI-Plugin die Datei container.log aus einem Checkpoint-Image wieder her, ohne einen symbolischen Link zu validieren. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf containerd 2.3.2, 2.2.5 bzw. 2.1.9 oder neuer aktualisieren.

Für Docker, containerd oder Podman ist CVE-2025-3911 auf der Sicherheitshinweis-Seite des Herstellers verzeichnet; die Quelle enthält keine weiterführende technische Beschreibung der Schwachstelle. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Docker/containerd/Podman führt CVE-2025-4095 in den Sicherheitsmeldungen auf. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Docker, containerd und Podman führen CVE-2025-10657 in ihren Sicherheitsmeldungen auf. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Docker/containerd/Podman führt CVE-2025-6587 in seinen Sicherheitsmeldungen. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In Moby bzw. der Docker Engine kann eine Race-Condition auftreten. Betroffen sind Docker Engine vor Version 29.5.1, Docker Daemon 28.5.2 und älter sowie Moby Daemon vor 2.0.0-beta.14. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Für Docker, containerd oder Podman ist CVE-2025-9164 auf der Sicherheitshinweis-Seite des Herstellers verzeichnet; die Quelle enthält keine weiterführende technische Beschreibung der Schwachstelle. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.