CVE-2026-113957 Discrepancia de digest de imagen en Containerd al hacer pull por digest
Un atacante que controle el registro, un espejo o la ruta de red puede servir contenido de imagen arbitrario ante un pull por digest, haciendo que el usuario ejecute una imagen distinta de la fijada. La corrección compara el digest devuelto con el fijado y falla el pull si no coinciden; los pull por tag quedan exentos y también se verifica el hash de manifiestos y blobs. Corregido en containerd 1.6.0 y containerization 0.52.1.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 0
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Apple container
hasta antes de 1.6.0
Apple containerization
hasta antes de 0.52.1
Qué hacer
- Verificá si usás container y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.6 MEDIA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadBaja
Descripción original
An attacker who controls the registry, a mirror, or the network path to it may be able to serve arbitrary image content in response to a pull by digest, so that a user runs an image other than the one they pinned. The fix compares the returned digest to the pinned digest and fails the pull on a mismatch. Tag pulls are exempt, because a tag is mutable by design. The fix also verifies the hash of manifests and blobs when they are fetched. This vulnerability is addressed in container version 1.6.0 and containerization version 0.52.1.
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.