CVE-2026-53495

Nome do Software Vulnerável e Versões Afetadas containerd versões anteriores a 1.7.35 containerd versões anteriores a 2.0.12 containerd versões anteriores a 2.2.8 containerd versões anteriores a 2.3.5

Description Em sistemas Linux com o plugin CRI habilitado, uma falha na implementação do CRI ExecSync pode fazer com que a goroutine drainExecSyncIO em internal/cri/server/container execsync.go seja bloqueada indefinidamente. Isso ocorre quando o CRI ExecSync é utilizado por probes de execução ou hooks de ciclo de vida que iniciam processos filhos em segundo plano de longa duração que retêm os pipes de entrada e saída padrão. Como a fase de drenagem de E/S não possui um tempo limite padrão e não para quando o contexto da solicitação é cancelado, invocações repetidas podem levar ao vazamento de goroutines e memória do host. Essa exaustão de recursos pode fazer com que o OOM killer encerre o daemon containerd, resultando em uma negação de serviço onde o runtime de contêiner permanece indisponível até ser reiniciado.

Recommendations Atualize para a versão 1.7.35. Atualize para a versão 2.0.12. Atualize para a versão 2.2.8. Atualize para a versão 2.3.5. Garanta que probes de execução e hooks de ciclo de vida não iniciem processos filhos em segundo plano de longa duração.