CVE-2026-64676

Nome do Software Vulnerável e Versões Afetadas Kata Containers versões anteriores a 4.0.0

Descrição O kata-agent apresenta uma falha de bypass de autorização no gerenciamento de memória do guest confidencial. Em implantações de Confidential Containers (CoCo), o kata-agent utiliza uma AgentPolicy baseada em OPA/Rego para autorizar chamadas de API ttRPC, que serve como a fronteira de segurança contra hosts não confiáveis. Dois métodos ttRPC associados ao recurso mem-agent não possuem essa verificação de autorização. Se o mem-agent estiver habilitado, um host não confiável pode invocar esses métodos incondicionalmente para manipular o gerenciamento de memória interna do guest, forçando swap, despejo agressivo ou compactação. Isso pode resultar em degradação de desempenho e afetar a disponibilidade da carga de trabalho confidencial. Esta falha não permite a execução de código ou a divulgação de memória.

Recomendações Atualize para a versão 4.0.0. Como medida de mitigação temporária, certifique-se de que o recurso mem-agent permaneça desabilitado.