Rata

**Nome do Software Vulnerável e Versões Afetadas** Versões do containerd de 2.0.1 a 2.0.4 **Descrição** Foi encontrado um bug na implementação CRI do containerd onde ele não coloca contêineres com namespace de usuário sob a hierarquia de cgroup do Kubernetes, fazendo com que alguns limites do Kubernetes não sejam respeitados. Isso pode levar a uma negação de serviço do nó do Kubernetes. **Recomendações** Para as versões do containerd de 2.0.1 a 2.0.4, atualize para a versão 2.0.5 ou posterior, ou 2.1.0 ou posterior, para resolver o problema. Como medida de contorno temporária, considere desativar pods com namespace de usuário no Kubernetes até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Versões do runc 1.1.13 e anteriores, bem como 1.2.0-rc2 e anteriores **Descrição** O problema está relacionado a uma condição de corrida que permite que um invasor crie arquivos ou diretórios vazios em locais arbitrários no sistema de arquivos do host. Isso pode ser feito compartilhando um volume entre dois contêineres e explorando uma condição de corrida com `os.MkdirAll`. O invasor deve ter a capacidade de iniciar contêineres usando uma configuração de volume personalizada. Contêineres que utilizam namespaces de usuário ainda são afetados, mas o escopo do ataque pode ser significativamente reduzido. Políticas LSM suficientemente rígidas, como SELinux ou AppArmor, também podem bloquear esse ataque. A vulnerabilidade pode ser explorada diretamente usando o runc, bem como por meio do Docker e do Kubernetes. **Recomendações** Para as versões 1.1.13 e anteriores do runc, bem como 1.2.0-rc2 e anteriores, atualize para a versão 1.1.14 ou 1.2.0-rc3 para corrigir o problema. Como solução temporária, considere usar namespaces de usuário para restringir o escopo do ataque. Restrinja o acesso a diretórios graváveis por todos para minimizar o risco de exploração. Aplique uma política rigorosa do SELinux ou do AppArmor ao ambiente de execução do runc para restringir ainda mais o escopo do ataque.