Qué es y cómo funciona la falla
Se encontró una vulnerabilidad (CWE-359) en la interacción entre systemd-gpt-auto-generator y las imágenes de máquinas virtuales confidenciales (confidential peer pods) de OpenShift Sandboxed Containers. Este generador monta automáticamente particiones GPT al arrancar sin confirmación del usuario. En el modelo de amenaza de computación confidencial, donde el host/hipervisor es el adversario, un host malicioso puede inyectar particiones en el disco virtual del invitado.
La inyección más crítica es una partición de swap, ya que provoca que el kernel del invitado pagee memoria cifrada por el TEE del hardware (como AMD SEV-SNP o Intel TDX) hacia un dispositivo de bloque controlado por el host, rompiendo así la garantía de confidencialidad.
Productos y versiones afectadas
La vulnerabilidad afecta a las imágenes PodVM que utilizan un disco con particiones GPT y dm-verity en la partición raíz, dentro del entorno de OpenShift Sandboxed Containers para computación confidencial.
Impacto real
El impacto es alto (CVSS: 7.9), ya que compromete el principio fundamental de confidencialidad en entornos de computación confidencial. Un hipervisor comprometido o malicioso podría acceder a la memoria supuestamente protegida por el TEE del hardware.
¿Se está explotando?
Actualmente, Shodan reporta 0 hosts indexados con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de exposición directa en internet. Sin embargo, el CVE fue catalogado como crítico/alto en las últimas 24 horas en el catálogo NVD.
¿Qué hacer?
El problema radica en que el parámetro del kernel roothash= solo deshabilita el auto-descubrimiento de la partición raíz, pero no el de otras particiones (swap, /home, /var, etc.). Además, el generador está incluido y activo en el subpaquete systemd-udev de RHEL, y ningún parámetro de línea de comandos en el addon UKI medido lo deshabilita. También se señala que el script de medición de la PodVM captura los PCRs 3, 9, 11 y 12, pero no el PCR 5 (tabla de particiones GPT), por lo que las modificaciones a esta tabla no son detectadas por la atestación remota.
| CVE | CVE-2026-121876 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.9 / 10 |
| CWE | CWE-359 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |