Sicherheitsbulletins

In diesem Dokument werden Sicherheitsbulletins für Distributed Cloud (nur Software) für VMware und Bare Metal beschrieben. Die Bulletins in diesem Dokument beginnen am 1. Juni 2026. Bulletins für diese Produkte für Daten vor dem 1. Juni 2026 finden Sie unter GKE-Sicherheits bulletins.

GCP-2026-051

Veröffentlicht: 31.07.2026

Aktualisiert: 04.08.2026

Referenz: CVE-2026-50195, CVE-2026-53488, CVE-2026-53492, CVE-2026-53489, CVE-2026-47262

VMware

Beschreibung Schweregrad

Aktualisierung vom 04.08.2026:Die VMware-Patchversion wurde von 1.33.1100 auf 1.33.1200 geändert.

In containerd (der GDC-Container laufzeit) wurden die folgenden Sicherheitslücken entdeckt. Diese Sicherheitslücken ermöglichen es Angreifern mit Berechtigungen zum Erstellen von Pods, Kubernetes-Sicherheitsgrenzen zu umgehen und Host-Kompromittierung, Cache-Vergiftung, und Denial-of-Service-Angriffe durchzuführen. Obwohl diese Sicherheitslücken im Kontext von containerd kritisch sind, ist für ihre Ausnutzung Clusterberechtigungen zum Erstellen von Pods erforderlich. Daher werden sie gemäß der GDC-Klassifizierung von Sicherheitslücken (nur Software) als „Hoch“ eingestuft.

  • CVE-2026-50195 (kritisch): Beim Import von CRI-Prüfpunkten in containerd werden Image-Referenzen nicht validiert. Ein Angreifer mit Berechtigungen zum Erstellen von Pods kann ein manipuliertes Prüfpunkt-Image verwenden, um den lokalen Image-Cache des Knotens zu vergiften, sodass andere Pods ein schädliches Image verwenden.
  • CVE-2026-53488 (kritisch): Das CRI-Plug-in überträgt Labels aus einer Image-Konfiguration ohne Validierung an einen Container. Dies kann dazu führen, dass ein beliebiger Befehl auf dem Host ausgeführt wird.
  • CVE-2026-53492 (kritisch): Die CRI-Implementierung vertraut CDI-Annotationen (Container Device Interface) bei der Wiederherstellung von Containern nicht ordnungsgemäß. Dadurch kann ein Angreifer beliebige CDI-Konfigurationen (z. B. Host-Mounts und Geräteknoten) in wiederhergestellte Container einschleusen und so die Ressourcenzuweisung und die Durchsetzung von Geräte-Plug-ins umgehen.
  • CVE-2026-53489 (hoch): Das CRI-Plug-in stellt container.log wieder her, ohne einen symbolischen Link zu validieren. Dadurch kann ein Angreifer über kubectl-Logs beliebige Host-Dateien lesen.
  • CVE-2026-47262 (mittel): Eine Sicherheitslücke in containerd ermöglicht es, dass ein böswillig erstelltes Image zu einer Speicherausschöpfung (DoS) des containerd-Prozesses führt.
Diese Sicherheitslücken betreffen alle GDC-Konfigurationen (nur Software), die Container-Optimized OS- und Ubuntu-Knoten-Images verwenden.

Wie gehe ich am besten vor?

Für GDC (nur Software) auf VMware enthalten die folgenden Patches Korrekturen für die Sicherheitslücken:

  • 1.34.800
  • 1.33.1200
 Hoch

Bare Metal

Aktualisierung vom 04.08.2026:Die VMware-Patchversion wurde von 1.33.1100 auf 1.33.1200 geändert.

Beschreibung Schweregrad

In containerd (der GDC-Container laufzeit) wurden die folgenden Sicherheitslücken entdeckt. Diese Sicherheitslücken ermöglichen es Angreifern mit Berechtigungen zum Erstellen von Pods, Kubernetes-Sicherheitsgrenzen zu umgehen und Host-Kompromittierung, Cache-Vergiftung, und Denial-of-Service-Angriffe durchzuführen. Obwohl diese Sicherheitslücken im Kontext von containerd kritisch sind, ist für ihre Ausnutzung Clusterberechtigungen zum Erstellen von Pods erforderlich. Daher werden sie gemäß der GDC-Klassifizierung von Sicherheitslücken (nur Software) als „Hoch“ eingestuft.

  • CVE-2026-50195 (kritisch): Beim Import von CRI-Prüfpunkten in containerd werden Image-Referenzen nicht validiert. Ein Angreifer mit Berechtigungen zum Erstellen von Pods kann ein manipuliertes Prüfpunkt-Image verwenden, um den lokalen Image-Cache des Knotens zu vergiften, sodass andere Pods ein schädliches Image verwenden.
  • CVE-2026-53488 (kritisch): Das CRI-Plug-in überträgt Labels aus einer Image-Konfiguration ohne Validierung an einen Container. Dies kann dazu führen, dass ein beliebiger Befehl auf dem Host ausgeführt wird.
  • CVE-2026-53492 (kritisch): Die CRI-Implementierung vertraut CDI-Annotationen (Container Device Interface) bei der Wiederherstellung von Containern nicht ordnungsgemäß. Dadurch kann ein Angreifer beliebige CDI-Konfigurationen (z. B. Host-Mounts und Geräteknoten) in wiederhergestellte Container einschleusen und so die Ressourcenzuweisung und die Durchsetzung von Geräte-Plug-ins umgehen.
  • CVE-2026-53489 (hoch): Das CRI-Plug-in stellt container.log wieder her, ohne einen symbolischen Link zu validieren. Dadurch kann ein Angreifer über kubectl-Logs beliebige Host-Dateien lesen.
  • CVE-2026-47262 (mittel): Eine Sicherheitslücke in containerd ermöglicht es, dass ein böswillig erstelltes Image zu einer Speicherausschöpfung (DoS) des containerd-Prozesses führt.
Diese Sicherheitslücken betreffen alle GDC-Konfigurationen (nur Software), die Ubuntu-Knoten- Images verwenden.

Wie gehe ich am besten vor?

Für GDC (nur Software) auf Bare Metal enthalten die folgenden Patches Korrekturen für die Sicherheitslücken:

  • 1.34.800
  • 1.33.1100
 Hoch