CVE-2026-19730

Nome do Software Vulnerável e Versões Afetadas Podman versão 5.8.x

Descrição O comando podman quadlet install --replace não trunca arquivos de destino existentes ao abri-los com O CREATE|O WRONLY sem O TRUNC. Em sistemas de arquivos que não suportam reflinks, como muitas configurações padrão de XFS do RHEL, a função ReflinkOrCopy utiliza o io.Copy como alternativa, que realiza uma gravação sem truncamento. Se o arquivo Quadlet original for maior que o substituto, resíduos do conteúdo original são preservados ao final do arquivo.

Este comportamento pode gerar riscos de segurança se opções sensíveis, como AddCapability, tiverem a intenção de ser removidas, mas permanecerem ativas. No caso de Volume Quadlets, isso pode resultar em montagens indesejadas, expondo potencialmente conteúdo para os containers. O problema reside nos arquivos pkg/domain/infra/abi/quadlet.go e vendor/go.podman.io/storage/pkg/fileutils/reflink linux.go.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.