Google gVisor: Use-after-free in VFS ermöglicht Codeausführung im Sentry-Prozess
Zusammenfassung
Ein Use-after-free in der virtuellen Dateisystemschicht (VFS) von Google gVisor erlaubt einem lokalen Angreifer mit Standardrechten in einem Container, Code im Host-Sentry-Prozess auszuführen. Der Angreifer löst ein Double Free des zugrunde liegenden MemoryFile eines Overlay-Dateisystems innerhalb der Sandbox aus. Der Sentry-Prozess bleibt durch die host-seitigen Linux-Seccomp- und Namespace-Grenzen eingeschränkt, und der CNA stuft die Ausnutzung als nicht automatisierbar ein.
Betroffen
- Google gVisor Versionen vor 20260831.0, auf allen Plattformen
- Distributionspakete: Status unklar (Ubuntu führt golang-gvisor-gvisor als 'Needs evaluation')
Behoben in
- Auf gVisor 20260831.0 oder neuer aktualisieren (die neueste Version wird empfohlen)
- Fix-Commits: 25c75149bc0eeaa6a3a49b9bbe3473588b2af6df, 90bc4fc36fe442257a06ba15df00371561c183ed, e4efb89c787ef15b09e68d561f1303380e1d5a77
- Welcher Commit in welcher Version enthalten ist: Unbekannt.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn oder öffentlichen Proof-of-Concept in der Recherche gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
- EPSS 0.00084 (Wert eines Drittanbieter-Aggregators).
- Nicht gegen CISA KEV geprüft.
Unsere Empfehlung
- Prüfen, ob gVisor (runsc), eine Kubernetes-Sandbox-Runtime oder ein verwalteter Sandbox-Dienst eingesetzt wird.
- gVisor auf 20260831.0 oder neuer aktualisieren; bei Distributionspaketen den Status des Herstellers verfolgen und das Upstream-Binary in Betracht ziehen.
- Keine nicht vertrauenswürdigen Container auf gemeinsam genutzten Hosts betreiben, bis der Patch eingespielt ist.
- Priorität: mittel für Single-Tenant-KMU; höher für Hosting-Anbieter, Multi-Tenant-Cluster und CI-Systeme, die nicht vertrauenswürdigen Code ausführen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- gVisor fix commit 25c75149 (overlayfs refcount panic) github.com
- gVisor fix commit 90bc4fc3 (mount namespace checks) github.com
- gVisor fix commit e4efb89c github.com
- OSV record CVE-2026-95702 osv.dev
- Ubuntu security tracker CVE-2026-95702 ubuntu.com
- gVisor releases github.com
- gVisor release 20260831.0 (sourceforge mirror) sourceforge.net
- gVisor filesystem documentation gvisor.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.