Red Hat - CVE-2026-92574

Il s'agit d'une vulnérabilité dans le mécanisme de restauration de point de contrôle (checkpoint restore) de CRI-O, basé sur CRIU (Checkpoint/Restore In Userspace).

CRI-O est un runtime de conteneurs léger conforme à l'interface CRI (Container Runtime Interface) de Kubernetes. Il gère le cycle de vie des conteneurs dans les clusters Kubernetes et constitue le composant d'exécution par défaut de Red Hat OpenShift Container Platform.

Lors de la restauration d'un conteneur depuis une archive de checkpoint ou une image OCI tirée d'un registre distant, CRIU restaure directement depuis les données du checkpoint les crédentiels de processus, les capabilities Linux, le bit no_new_privs et l'état seccomp. Ces éléments sont issus du checkpoint et non du contexte de sécurité Kubernetes spécifié dans la pod specification de destination. La restauration depuis des registres distants est activée par défaut dans les versions affectées, sans contrôle de conformité au contexte de sécurité cible. Un attaquant disposant des droits RBAC de création de pod peut soumettre une image de checkpoint malveillante qui, à la restauration, fait exécuter des processus en root avec toutes les capabilities et sans profil seccomp, en franchissant les politiques de sécurité du cluster.

Elle permet à un utilisateur autorisé à créer des pods de contourner les contraintes de sécurité Kubernetes et d'obtenir une exécution avec des privilèges élevés au sein du nœud d'exécution.