CVE-2022-23648 containerd 宿主机文件越权读取漏洞-讯岚社区

漏洞案例全球 CVE 记录

CVE-2022-23648

containerd 宿主机文件越权读取漏洞

近日Containerd社区公布了一处针对宿主机任意文件的越权读取漏洞，编号为CVE-2022-23648。该漏洞使攻击者可以通过部署特殊配置的恶意镜像，绕过Pod Security Policy等安全机制的约束获取宿主机上的敏感信息。

漏洞概览

CVE 编号: CVE-2022-23648
文章标题: CVE-2022-23648 containerd 宿主机文件越权读取漏洞
影响产品或组件: 未命名漏洞案例
漏洞类型: 以原文描述为准，未单独列出 CWE
原文字符数: 2579
资料核验日期: 2026-09-18

安全风险等级评估

CVE-2022-23648漏洞被评估为中危漏洞。

影响范围与修复版本

产品或分支	受影响范围	历史修复边界或说明
未命名漏洞案例	以下枚举的Containerd版本均在该漏洞影响范围内：	按厂商公告与产品矩阵核对
未命名漏洞案例	0~v1	按厂商公告与产品矩阵核对
未命名漏洞案例	Kubernetes社区在以下版本修复了该漏洞：	按原文或厂商公告核对修复边界

原文范围说明：以下枚举的Containerd版本均在该漏洞影响范围内： ≤v1.4.12 v1.5.0~v1.5.9 v1.6.0 Kubernetes社区在以下版本修复了该漏洞： v1.4.13 v1.5.10 v1.6.1

漏洞详情

漏洞机制

触发条件与权限边界

https://github.com/containerd/containerd/security/advisories/GHSA-crp2-qrr5-8pq7?spm=a2c4g.11186623.0.0.33533340UBFgBb

场景与影响

https://github.com/containerd/containerd/security/advisories/GHSA-crp2-qrr5-8pq7?spm=a2c4g.11186623.0.0.33533340UBFgBb

检测与排查

资产、配置与日志核查

围绕 CVE-2022-23648 盘点实际资产、软件包或插件版本、启用组件、访问入口和相关日志；修复后回读运行版本与补丁状态，复核业务功能、访问控制和异常进程。不要在生产环境通过投递恶意样本或反复认证失败来验证漏洞。原文技术细节已保留在“漏洞详情”中，需按厂商公告进一步核对。

防范措施与修复验证

修复与缓解

参考如下方案及时升级集群存量节点Containerd版本。使用 kubectl drain 排水掉目前需要升级的节点。 systemctl stop kubelet 停止节点的Kubelet服务。 systemctl stop containerd 停止节点的Containerd服务。安装最新的Containerd的RPM包。 systemctl start containerd 启动Containerd服务。 systemctl start kubelet 启动Kubelet服务。该节点升级完成，使用 kubectl uncordon 将节点恢复到可调度状态。如还需继续升级其他节点，回到第二步继续升级其他节点。止血方案：严格控制非受信人员的应用部署权限。通过新版OPA策略治理禁止在集群中部署不可信镜像。

修复后的验证

完成变更后回读未命名漏洞案例的实际版本、补丁和配置，确认已落在厂商修复范围；需要重启的服务应验证重启结果，再检查相关业务功能、访问控制与日志。临时缓解应单独标注并跟踪正式修复。

参考来源

CVE 官方记录官方漏洞记录与状态 NVD 漏洞条目评分、分析与参考链接 原文公告或技术资料github.com

英文技术描述已按原文语义整理为中文，产品名、协议名、版本号、命令、路径和官方链接予以保留。涉及多 CVE 的文章维持为一篇，不拆分原文章。

文章版权归原作者所有，内容仅用于合法合规的学习、研究与安全防护，未经允许请勿转载。

THE END

漏洞案例