NVD / CVE Program· CNA GitHub_M

CVE-2026-33414: PowerShell Command Injection in Podman HyperV Machine

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 16/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,60% (FIRST EPSS).
Может быть вызвана пользователем с локальным доступом к системе. Требуются права администратора. Действия пользователя не требуются. Требуются особые условия, например определённое время или конфигурация.
По данным CISA атаку можно автоматизировать: цели находятся массовым сканированием.
Исправленная версия: containers podman 5.8.2.

Пока низкий приоритет. Обновитесь до containers podman 5.8.2 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

Podman is a tool for managing OCI containers and pods. Versions 4.8.0 through 5.8.1 contain a command injection vulnerability in the HyperV machine backend in pkg/machine/hyperv/stubber.go, where the VM image path is inserted into a PowerShell double-quoted string without sanitization, allowing $() subexpression injection. Because PowerShell evaluates subexpressions inside double-quoted strings before executing the outer command, an attacker who can control the VM image path through a crafted machine name or image directory can execute arbitrary PowerShell commands with the privileges of the Podman process. On typical Windows installations this means SYSTEM-level code execution, and only Windows is affected as the code is exclusive to the HyperV backend. This issue has been patched in version 5.8.2.

СредняяCVSS 4.0 · v4.0—Эксплойта нет Есть исправление

Опубликовано: 14 апр. 2026 г.
Обновлено: 24 июл. 2026 г.
EPSS: 0,6 % · 48-й процентиль
CWE: CWE-78

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 16 / 40 · 4.0 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,6 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: да
Техническое влияние: полное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: —
CNA · GitHub_M: 4,0; NVD ещё не выставил свою оценку; показана оценка CNA.

CVSS:4.0/AV:L/AC:H/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
podman project	podman	cpe:2.3:a:podman_project:podman
microsoft	windows	cpe:2.3:o:microsoft:windows

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

podman project podman4.8.0 и новее · до 5.8.2

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

containers podman
- >= 4.8.0, < 5.8.2затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Debian:13	podman	с 0	—
Debian:14	podman	до 5.8.2+ds1-1	5.8.2+ds1-1
Go	github.com/containers/podman	с 0	—
Go	github.com/containers/podman/v2	с 0	—
Go	github.com/containers/podman/v3	с 0	—
Go	github.com/containers/podman/v4	с 4.8.0 · до 4.9.5 включительно	—
Go	github.com/containers/podman/v4	с 4.8.0	—
Go	github.com/containers/podman/v5	до 5.8.2	5.8.2
openSUSE:Tumbleweed	podman	до 5.8.2-1.1	5.8.2-1.1
Red Hat:hummingbird:1	podman	до 0:5.8.2-1.hum1	0:5.8.2-1.hum1
Red Hat:hummingbird:1	podman-docker	до 0:5.8.2-1.hum1	0:5.8.2-1.hum1
Red Hat:hummingbird:1	podman-machine	до 0:5.8.2-1.hum1	0:5.8.2-1.hum1
Red Hat:hummingbird:1	podman-remote	до 0:5.8.2-1.hum1	0:5.8.2-1.hum1
Red Hat:hummingbird:1	podman-tests	до 0:5.8.2-1.hum1	0:5.8.2-1.hum1
Red Hat:hummingbird:1	podmansh	до 0:5.8.2-1.hum1	0:5.8.2-1.hum1

Тот же продукт

podman project: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2022-1227A privilege escalation flaw was found in Podman.
36Наблюдать
CVE-2026-57231Podman: Malformed Image can trick podman run into leaking host environment variables into the container
30Наблюдать
CVE-2024-3056Podman: kernel: containers in shared ipc namespace are vulnerable to denial of service attack
30Наблюдать

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2022-41238 дек. 2022 г. · A flaw was found in Buildah.
13Наблюдать
← РаньшеCVE-2023-077827 мар. 2023 г. · A Time-of-check Time-of-use (TOCTOU) flaw was found in podman.
27Наблюдать
Позже →CVE-2026-5568626 июн. 2026 г. · Podman: WORKDIR symlink traversal vulnerability
21Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
containers podman	5.8.2 · description	Вендор (CNA)
debian:podman	5.8.2+ds1-1 · Debian:14	Реестр пакетов (OSV)
Go:github.com/containers/podman/v5	5.8.2	Реестр пакетов (OSV)
opensuse:podman	5.8.2-1.1 · openSUSE:Tumbleweed	Реестр пакетов (OSV)
red hat:podman	0:5.8.2-1.hum1 · Red Hat:hummingbird:1	Реестр пакетов (OSV)
red hat:podman-docker	0:5.8.2-1.hum1 · Red Hat:hummingbird:1	Реестр пакетов (OSV)
red hat:podman-machine	0:5.8.2-1.hum1 · Red Hat:hummingbird:1	Реестр пакетов (OSV)
red hat:podman-remote	0:5.8.2-1.hum1 · Red Hat:hummingbird:1	Реестр пакетов (OSV)
red hat:podman-tests	0:5.8.2-1.hum1 · Red Hat:hummingbird:1	Реестр пакетов (OSV)
red hat:podmansh	0:5.8.2-1.hum1 · Red Hat:hummingbird:1	Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

containers/podmanкоммит 571c842

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

Может быть вызвана пользователем с локальным доступом к системе.
Требуются права администратора.
Действия пользователя не требуются.
Требуются особые условия, например определённое время или конфигурация.

В случае успеха

Конфиденциальность
Целостность
Доступность

Вектор атаки: Локальный
Сложность атаки: Высокая
Требуемые привилегии: Высокие
Взаимодействие с пользователем: Не требуется
Область действия: X

Класс уязвимости (CWE)

CWE-78 · Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')

Вектор CVSS

CVSS:4.0/AV:L/AC:H/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

nvd-secondary

Первопричина

Пользовательский ввод вставляется в команду оболочки как текст. Оболочка может интерпретировать специальные символы во вводе как часть команды.

Ошибка в коде

Весь класс CWE-78

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

1const host = req.body.host;
2exec("ping -c 1 " + host, onResult);

Исправленный код

1const host = req.body.host;
2if (!/^[a-z0-9.-]{1,253}$/i.test(host)) return res.sendStatus(400);
3execFile("ping", ["-c", "1", host], onResult);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Техники ATT&CK

—

Журнал изменений

Исправление✗ → ✓28 сент. 2026 г., 22:46 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

github.com/containers/podman/commit/571c842bd357ee626019ea97d030fb772fc654ed

Показать все источники (ещё 5)

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Мы используем этот продукт, нужна помощь

Источники данных и проверка

CNA: GitHub_M

CVE.org (CNA)15 июл. 2026 г., 01:06 UTC
CISA ADP15 июл. 2026 г., 01:06 UTC
NVD24 июл. 2026 г., 19:10 UTC
FIRST EPSS26 окт. 2026 г., 00:00 UTC
OSV / GHSA27 окт. 2026 г., 03:18 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.