containerd CVE-2026-53493: DoS با گراف OCI index هنگام pull

پول ایمیج معمولاً قبل از «اجرای کانتینر» فرض می‌شود امن‌تر است. GHSA-pg57-6jwg-q645 برای CVE-2026-53493 نشان می‌دهد همان فاز PullImage کافی است تا نود را تحت فشار بگذارد.

اگر OCI image index با گراف descriptor تودرتو یا fan-out سنگین ساخته شود، پیمایش بازگشتی فرزندها حد عمق و عرض کافی ندارد و dedup هویت‌های یکسان را درست انجام نمی‌دهد. نتیجه: مصرف unbounded از CPU و حافظه، stall طولانی هنگام ساخت کانتینر، و فشار روی host — همه قبل از اینکه هیچ container processی بالا بیاید. کلاس ضعف‌ها حول CWE-400 / CWE-770 / CWE-834 است؛ شدت در گزارش‌های ثانویه حدود CVSS 6.9 (Medium) آمده.

این باگ را با CVE-2026-53495 (نشت goroutine در CRI ExecSync) قاطی نکنید. آن یکی دربارهٔ پروب و hook بود؛ این یکی دربارهٔ آماده‌سازی گراف index هنگام pull است.

کدام تگ را بگیرید

بازهٔ آسیب‌پذیر طبق advisoryهای GitLab/GitHub: قبل از 1.7.36؛ 2.0.0 تا قبل 2.0.13؛ از 2.1/2.2 تا قبل 2.2.9؛ 2.3.x قبل 2.3.6؛ و 2.4.0. workaround رسمی شناخته‌شده نیست؛ تا ارتقا فقط از رجیستری و ارجاعی که به آن اعتماد دارید pull کنید. در کلاسترهایی که کاربر یا CI می‌تواند reference دلخواه به runtime بدهد، این CVE همان‌قدر عملی است که یک ایمیج بدخواه در صف ctr images pull یا معادل CRI بنشیند.