containerd-Lücken in Kubernetes: Host-Befehle & Bypass

Containerd Kritische Schwachstelle in Open-Source-Software für Container-Runtime

20.07.2026 Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

Schwachstellen in containerd gefährden Kubernetes-Umgebungen. Angreifer können Host-Befehle ausführen, Ressourcenkontrollen umgehen oder sensible Host-Dateien auslesen. Schnelles Patchen ist erforderlich.

Containerd-Sicherheitslücken ermöglichen die Kompromittierung von Kubernetes-Nodes und sensiblen Host-Daten.(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert) — Containerd-Sicherheitslücken ermöglichen die Kompromittierung von Kubernetes-Nodes und sensiblen Host-Daten.
(Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)

Containerd gehört zu den am weitesten verbreiteten Container-Runtimes. Die Open-Source-Software wird unter anderem von Kubernetes sowie in verwalteten Kubernetes-Diensten wie Google GKE, Amazon EKS und Azure AKS und außerdem intern von Docker zum Starten und Verwalten von Containern verwendet. Umso schwerwiegender ist die kritische Sicherheitslücke EUVD-2026-40860 / CVE-2026-5348 (CVSS-Score 9.4, EPSS-Score^* 0.20) die darin gefunden wurde.

Die Schwachstelle CVE-2022-0492 durchbricht die Container-Grenzen und gibt Angreifern Root-Zugriff auf den darunterliegenden Host. Ungepatchte Linux-Systeme mit cgroups v1 sind unmittelbar gefährdet. (Bild: Gemini / KI-generiert)

Beliebige Host-Befehle möglich

Konkret betroffen ist das CRI-Plugin von containerd, das für die Kommunikation zwischen Kubernetes und containerd sowie für die Verwaltung und Ausführung von Pods und Containern auf einem Kubernetes-Worker-Node zuständig ist. In Versionen vor 1.7.33, 2.3.2, 2.2.5, 2.1.9 und 2.0.10 überträgt das Plugin Labes aus der Image-Konfiguration ohne Validierung auf einen Container. Dies kann zur Ausführung eines beliebigen Befehls auf dem Host führen, wenn ein Plugin Container-Labels für bestimmte Vorgänge verwendet. Das Problem wurde in den Versionen 1.7.33, 2.3.2, 2.2.5, 2.1.9 und 2.0.10 behoben.

Falco greift als kernelnaher Agent direkt auf Systemaufrufe laufender Kubernetes-Container zu. So erkennt das Tool ungewöhnliche Aktivitäten, die statische Sicherheitsscans nicht erfassen. (Bild: Gemini / KI-generiert)

Kaputtes CRI-Plugin

Doch EUVD-2026-40860 / CVE-2026-5348 ist nicht die einzige Sicherheitslücke in containerd, die Aufmerksamkeit bedarf. Mit einem CVSS-Score von 8.4 ist EUVD-2026-41109 / CVE-2026-53492 (EPSS-Score 0.41) zwar nicht kritisch, kann allerdings trotzdem ein hohes Risiko bergen. Auch hier ist die CRI-Implementierung betroffen, insbesondere bei der Verarbeitung von CDI-Annotationen bei der Wiederherstellung eines Containers aus einem Checkpoint. Bei der Wiederherstellung eines Containers aus einem Checkpoint übernimmt containerd CDI-bezogene Annotationen aus dem Checkpoint-Archiv, anstatt sich ausschließlich auf die zum Zeitpunkt der Pod-Erstellung festgelegte Spezifikation zu stützen. Dies ermöglicht es einem Benutzer mit Berechtigungen zur Pod-Erstellung, die standardmäßige Kubernetes-Ressourcenzuweisung sowie die Durchsetzung von Device-Plugin-Vorgaben zu umgehen und beliebige CDI-Änderungen in den wiederhergestellten Container einzuschleusen.

Für eine erfolgreiche Ausnutzung muss CDI auf dem Node aktiviert sein und eine passende Host-CDI-Spezifikation für das angeforderte Gerät vorliegen. Betroffen sind die containerd-Versionen 2.1.0 bis vor 2.1.9, 2.2.0 bis vor 2.2.5 und 2.3.0 bis vor 2.3.2. Behoben wurde die Schwachstelle ab 2.1.9, 2.2.5 und 2.3.2. Umgebungen, in denen CDI deaktiviert ist oder keine sensiblen Gerätespezifikationen existieren, sind nicht anfällig.

Ähnlich verhält es sich mit EUVD-2026-41110 / CVE-2026-53489 (CVSS-Score 8.2, EPSS-Score 0.20). Auch hier ist das CRI-Plugin bei der Container-Wiederherstellung betroffen. Allerdings sorgt bei EUVD-2026-41110 / CVE-2026-53489 ein manipulierter symbolischer Link für „container.log“ dafür, dass „kubectl logs“ statt des Container-Logs eine beliebige Datei des Hosts ausliest, beispielsweise sensible Konfigurationsdateien oder Zugangsdaten.

Auch diese Sicherheitslücke betrifft die Versionen 2.1.0 bis vor 2.1.9, 2.2.0 bis vor 2.2.5 und 2.3.0 bis vor 2.3.2. Der Fix von EUVD-2026-41109 / CVE-2026-53492 gilt auch hier.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der entsprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

kube-bench und Trivy prüfen Kubernetes-Cluster auf Konfigurationsmängel und Image-Schwachstellen. Die Kombination liefert die Grundlage für gezielte Härtungsmaßnahmen. (Bild: Gemini / KI-generiert)

(ID:50895637)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.