Vulnérabilité dans github.com/opencontainers/runc (CVE-2026-41579)
Résumé
Vulnérabilité dans github.com/opencontainers/runc (CVE-2026-41579). Risque d'opérations non autorisées ou de divulgation. Exploitable via setupPtmx. Atténuation : mise à jour vers 1.5.0-rc.3 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Impact
When setting up the container rootfs, setupPtmx and setupDevSymlinks call os.Remove and os.Symlink with a filepath.Join string which allow an image with /dev as a symlink to trick runc into deleting files called ptmx on the host or creating a hardcoded set of symlinks with specific names and targets in an arbitrary pre-existing host directory.
Please note that this issue is not exploitable under Docker because it creates a top-level ro layer that masks any malicious /dev symlink present in the container image (this is also done without mounting the lower layers so there is no opportunity for the malicious /dev symlink to trick it into resolving to some other path). Unfortunately, Podman and containerd† do not do this and so users using those higher-level runtimes with runc can be exploited via a malicious image.
This issue mirrors a somewhat similar issue in crun, which was also published recently.
† Actually, at the time the issue was analysed, containerd had dead code that implemented this feature but the implementation contained several security issues that would arguably have made it more exploitable than in runc. Luckily, the code appears to have never been used (at least since 2…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-41579 a été découverte dans github.com/opencontainers/runc.
Des attaquants peuvent cibler un point d'entrée spécifique comme setupPtmx à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 3.3/10.
Action : mettez à jour github.com/opencontainers/runc vers 1.5.0-rc.3 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « github.com/opencontainers/runc CVE-2026-41579 » sur le site de l'éditeur.
CVE-2026-41579 (github.com/opencontainers/runc) — CWE-61 / CVSS v3 3.3
Vecteur d'attaque : local / non authentifié
Surface d'attaque : setupPtmx / setupDevSymlinks / os.Remove / os.Symlink
Correctif : 1.5.0-rc.3 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-61) affecte github.com/opencontainers/runc. Les attaquants atteignent le code vulnérable via setupPtmx sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de github.com/opencontainers/runc. Surface d'attaque : setupPtmx / setupDevSymlinks / os.Remove / os.Symlink.
Gravité : Faible (CVSS 3.3/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 1.5.0-rc.3.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'github.com/opencontainers/runc' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
github.com/opencontainers/runcを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade github.com/opencontainers/runc to 1.5.0-rc.3ステージング環境で 1.5.0-rc.3 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- BellSoft Alpaquita BELL-CVE-2026-41579 runc Corrigé dans: 1.3.6-r0
- Debian DEBIAN-CVE-2026-41579 runc
- Ubuntu UBUNTU-CVE-2026-41579 runc
Références
- package github.com
- patch security-advisories@github.com
- web github.com
- web github.com