CVE-2025-62161
Publiée le 2025-11-06 · Dernière modification le 2026-10-19
Les versions 0.5.6 et antérieures du runtime de conteneur Youki sont affectées par une faille dans la manière dont `/dev/null` est validé lors du montage par liaison (bind mounting). Un attaquant disposant d'un accès de bas niveau à un conteneur peut exploiter cette vulnérabilité pour s'affranchir de l'isolation du conteneur et prendre le contrôle total du système hôte. Cela nécessite un accès local au conteneur ainsi qu'une certaine interaction de l'utilisateur pour être déclenché, mais l'exploitation elle-même est simple à exécuter.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Youki is a container runtime written in Rust. In versions 0.5.6 and below, the initial validation of the source /dev/null is insufficient, allowing container escape when youki utilizes bind mounting the container's /dev/null as a file mask. This issue is fixed in version 0.5.7.