Podman パス・トラバーサル脆弱性により、github.com/containers/podmanにおいて任意のファイル読み書きが可能になる

この脆弱性は、攻撃者がPodmanの機能を利用して、本来アクセスできないはずのシステム上のファイルを読み書きすることを可能にします。例えば、攻撃者は設定ファイルや機密情報を含むファイルを読み出し、それらを改ざんすることでシステムの動作を制御したり、不正なコードを実行したりする可能性があります。攻撃の成功は、Podmanを起動しているシステムへのアクセス権に依存しますが、一度アクセス権を得てしまうと、その影響は広範囲に及ぶ可能性があります。この脆弱性の悪用は、他のパストラバーサル脆弱性の悪用と同様に、機密情報の漏洩、システムの停止、さらにはマルウェアの感染といった深刻な結果を招く可能性があります。

Organizations heavily reliant on containerization technologies, particularly those using Podman for development, testing, or production deployments, are at risk. Environments with shared hosting or multi-tenant container setups are especially vulnerable, as a compromise of one container could potentially impact others. Legacy Podman installations running older, unpatched versions are also at heightened risk.

• go / container: Inspect Podman container configurations for unusual file paths or access permissions.

ps aux | grep podman

• linux / server: Monitor system logs for suspicious file access attempts, particularly those involving traversal sequences (e.g., '../').

journalctl -u podman -f | grep "../"

• generic web: Examine Podman API endpoints for potential vulnerabilities related to file handling. Use curl to test for directory traversal.

curl 'http://localhost:8080/v1/containers/json?name=mycontainer&path=../../../../etc/passwd' #Example - adjust URL

1. 2024-08-20Disclosure

   disclosure

1. 予約済み2019-03-27
2. 公開日2024-08-20
3. 更新日2026-03-03
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、まずPodmanをバージョン1.4.0以降にアップグレードすることが推奨されます。アップグレードが困難な場合は、一時的な回避策として、Podmanがアクセスできるファイルパスを制限するなどの対策を講じることが考えられます。また、WAF（Web Application Firewall）やプロキシサーバーを導入し、不正なファイルアクセスを検知・遮断することも有効です。Podmanのログを監視し、異常なファイルアクセスパターンを検出することも重要です。アップグレード後、podman infoコマンドを実行し、バージョンが1.4.0以降であることを確認してください。