Podmanにおいて、コンテナのチェックポイント機能に起因する重大なセキュリティ上の欠陥が存在する。v4.4.0以降のPodmanでは、OCIレジストリ経由で取得したコンテナチェックポイントを `podman run` コマンドで直接実行する機能が追加されていた。しかし、特定のイメージアノテーション（io.podman.annotations.checkpoint.runtime.name）が含まれている場合、Podmanはそのイメージをチェックポイントとして認識し、コンテナ作成時のユーザー入力を暗黙的に無視してチェックポイント側の設定を優先する。これにより、ユーザーが指定したサンドボックス設定や権限制限（--cap-drop=ALL など）が無効化され、攻撃者が用意した悪意あるチェックポイントイメージによってサンドボックスが完全にバイパスされるおそれがある。
対象ソフト
Podmanは、コンテナおよびコンテナイメージを管理するためのオープンソースのコンテナエンジンであり、Dockerの代替として開発・利用されている。
影響
攻撃者によって細工されたチェックポイントイメージが実行された場合、コンテナのサンドボックス機能が実質的に無効化され、ホストやコンテナ環境に対して機密情報の漏洩、データの改ざん、システムの完全な乗っ取りなどの深刻な被害がもたらされる可能性がある。
対応策
github.com/containers/podmanの場合は 5.8.8 以降にアップグレードすること、go.podman.io/podman/v6 の場合は 6.1.3 以降にアップグレードすること。
