containerd 修复拉取镜像阶段的资源耗尽漏洞 RSS

containerd 披露镜像拉取过程中的拒绝服务漏洞 CVE-2026-53493。恶意 OCI 描述符图可通过过深或过宽的引用结构，让处理过程消耗大量 CPU 与内存；风险发生在拉取镜像时，无须先启动容器。修复为描述符遍历增加边界与去重处理，已进入 2.4.1、2.3.6、2.2.9、2.0.13 和 1.7.36。运行镜像构建、扫描或集群节点的团队应核对实际运行时版本；暂未更新时，应限制从不可信来源拉取镜像。

发布于 2026-09-27T00:07:20.580712Z · containerd 项目组 · containerd Security Advisories

安全 容器

containerd 披露镜像拉取过程中的拒绝服务漏洞 CVE-2026-53493。恶意 OCI 描述符图可通过过深或过宽的引用结构，让处理过程消耗大量 CPU 与内存；风险发生在拉取镜像时，无须先启动容器。修复为描述符遍历增加边界与去重处理，已进入 2.4.1、2.3.6、2.2.9、2.0.13 和 1.7.36。运行镜像构建、扫描或集群节点的团队应核对实际运行时版本；暂未更新时，应限制从不可信来源拉取镜像。

containerd 披露镜像拉取过程中的拒绝服务漏洞 CVE-2026-53493。恶意 OCI 描述符图可通过过深或过宽的引用结构，让处理过程消耗大量 CPU 与内存；风险发生在拉取镜像时，无须先启动容器。修复为描述符遍历增加边界与去重处理，已进入 2.4.1、2.3.6、2.2.9、2.0.13 和 1.7.36。运行镜像构建、扫描或集群节点的团队应核对实际运行时版本；暂未更新时，应限制从不可信来源拉取镜像。

原始来源 ↗

来源记录

• pgweb.info_item · c2b4d7eb24d8e1b9 · 2026-10-03T04:08:55.967155Z