Résumé
généré automatiquement à partir des données NVDUne faille dans bootc, lorsqu'il fonctionne avec la politique de signature par défaut de containers, est liée à une vérification insuffisante de l'authenticité des données (CWE-345). Les mises à jour automatiques ou manuelles d'un tag d'image mutable peuvent appliquer du contenu non signé pour les registres qui retombent sur insecureAcceptAnything. Un attaquant capable de modifier ce tag peut alors exécuter du contenu arbitraire comme système de fichiers racine de l'hôte au redémarrage. Score CVSS v3.1 : 8.1 (HIGH).
Description NVD (anglais)
A flaw was found in bootc when operating with the default containers signature policy. Automatic or manual upgrades of a mutable image tag may apply unsigned content for registries that fall through to insecureAcceptAnything, allowing an attacker who can update that tag to execute arbitrary OS content as the host root filesystem on reboot.
EPSS · FIRST.org
0,17 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 6 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 19 oct. 2026, recalculé chaque jour par FIRST.org.
Score CVSS v3.1
Informations
- Publié
- 19 oct. 2026
- Mis à jour
- 19 oct. 2026
- Statut
- Received
- Source
- secalert@redhat.com
Faiblesses (CWE)
CVEs similaires
Autres vulnérabilités de type CWE-345
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.