CVE-2026-113951 Ejecución arbitraria de comandos en Container mediante inyección de plugin de credenciales en kubeconfig

Qué es CVE-2026-113951

Si un atacante puede escribir en el sistema de archivos de un contenedor del clúster k8s, puede plantar un plugin de credenciales exec en /etc/kubernetes/admin.conf. kubectl ejecutará ese plugin como el usuario del host macOS la próxima vez que se copie el kubeconfig al host y se ejecute kubectl contra él. Corregido en Container 1.5.0.

Productos y versiones afectadas

• Apple Container

  • hasta antes de 1.5.0

Qué hacer

1. Verificá si usás Container y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

Esta vulnerabilidad todavía no tiene vector CVSS publicado.

Abrir la calculadora completa →

Descripción original

If an attacker can write to the filesystem of a container k8s cluster container, they can plant an exec credential plugin in /etc/kubernetes/admin.conf. kubectl will run that plugin as the macOS host user the next time someone pulls the cluster's kubeconfig onto the host with container k8s write-config or create and then runs kubectl against it — turning filesystem access inside an untrusted Linux container into arbitrary command execution on the host. This vulnerability is addressed in Container version 1.5.0.

Referencias

• github.com/apple/container/security/advisories/GHSA-44v5-vx46-ghv6

Historial de la alerta

1. 23 OCT · 18:37VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.