containerd: DoS-Schwachstelle lässt Docker- und Kubernetes-Server abstürzen
Eine Schwachstelle in containerd erlaubt Angreifern, über eine bösartige Container-Image den gesamten Container-Runtime-Prozess zum Absturz zu bringen. Betroffen sind Docker und Kubernetes.
Im Juni 2026 wurde in containerd, einer der wichtigsten Container-Runtimes für Docker und Kubernetes, eine Denial-of-Service-Schwachstelle entdeckt und behoben. CVE-2026-47262 ermöglicht es einem Angreifer, über eine manipulierte Container-Image den gesamten containerd-Prozess zum Absturz zu bringen. Das Amazon Web Services (AWS) Security Bulletin vom Juli 2026 bestätigt die Relevanz für Cloud-Umgebungen.
Was ist passiert?
Die Schwachstelle liegt in der Gruppen-Parser-Komponente von containerd. Wenn ein Angreifer eine bösartige Container-Image mit einer übermäßig großen Gruppenkonfiguration bereitstellt, wird beim Erstellen des Containers der Speicher des containerd-Prozesses vollständig erschöpft. Das Ergebnis ist ein sogenannter Out-of-Memory-Kill (OOM-Kill) des gesamten containerd-Prozesses.
Da containerd die zentrale Laufzeitumgebung für alle Container auf einem System ist, führt ein Absturz zum Ausfall aller laufenden Container auf dem betroffenen Knoten. In Kubernetes-Umgebungen bedeutet das den Ausfall eines gesamten Worker-Knotens mit allen darauf laufenden Pods.
Wer ist betroffen?
Betroffen sind folgende containerd-Versionen vor dem jeweiligen Fix:
- containerd 1.x vor Version 1.7.33
- containerd 2.0 vor Version 2.0.10
- containerd 2.1 vor Version 2.1.9
- containerd 2.2 vor Version 2.2.5
- containerd 2.3 vor Version 2.3.2
Betroffen sind alle Systeme, auf denen containerd als Container-Laufzeitumgebung läuft. Das umfasst Docker-Installationen, Kubernetes-Cluster und andere Container-Orchestrierungssysteme. Nicht betroffen sind Systeme, die ausschließlich Podman oder andere alternative Runtimes ohne containerd verwenden.
Wie kritisch ist das?
Der CVSS-Score liegt bei 6,5 (mittel). Die Schwachstelle erfordert die Möglichkeit, Container-Images in eine Registry oder ein System einzuspielen. In Cluster-Umgebungen, in denen Benutzer Container-Images bereitstellen können, ist die Angriffshürde gering. Ein einmaliger Absturz von containerd kann in produktiven Kubernetes-Umgebungen zu erheblichen Ausfallzeiten führen, da alle Pods auf dem betroffenen Knoten neu gestartet werden müssen. Für kleine Unternehmen, die Docker-Compose-Setups betreiben, ist der Schaden begrenzt, weil containerd nach einem Neustart die Container wiederherstellt.
Was sollten Admins jetzt tun?
- containerd-Version prüfen: Mit
containerd --versiondie aktuelle Version ermitteln. Liegt sie unter den genannten Fix-Versionen, ist ein Update nötig. - Docker-Version prüfen: Docker bundled containerd. Mit
docker versionprüfen, welche containerd-Version integriert ist. Das Docker-Update auf die aktuellste Version bringt den containerd-Fix mit. - Kubernetes-Version prüfen: In Kubernetes-Umgebungen mit
kubectl get nodes -o widedie containerd-Version pro Knoten prüfen. Das Kubernetes-Update oder ein gezieltes containerd-Update ist nötig. - Images aus vertrauenswürdigen Quellen beziehen: Stellen Sie sicher, dass nur autorisierte Registrys für Container-Images verwendet werden. Verwenden Sie Image-Signierung mit Cosign odersimilar Tools.
- Monitoring einrichten: Überwachen Sie containerd-Prozesse auf OOM-Kill-Events. In Kubernetes mit
kubectl describe nodekönnen Speicherereignisse eingesehen werden. - Backup-Strategie prüfen: Stellen Sie sicher, dass Kubernetes-Deployments als Konfiguration vorliegen, um nach einem Absturz eine schnelle Wiederherstellung zu ermöglichen.
Einordnung für Unternehmen
Containerd ist die Standard-Container-Runtime in den meisten modernen Container-Umgebungen. Wer Docker einsetzt, nutzt implizit containerd. Für KMU, die Docker für Webanwendungen, Datenbanken oder interne Dienste verwenden, ist ein Update auf die neueste Version daher empfehlenswert. Besonders relevant ist die Schwachstelle für Unternehmen mit Kubernetes-Clustern, da ein DoS-Angriff die Verfügbarkeit aller auf einem Knoten laufenden Dienste gefährden kann.
Passende Anleitungen auf S-EDV
- CrowdSec mit Docker: Intrusion Prevention - Absicherung von Docker-Installationen gegen Angriffe.
- Falco: Docker Runtime Security - Runtime-Überwachung für Container-Umgebungen.
