发布日期: 2026-06-26
版本号: v5.8.4

本次版本更新修复了一个安全漏洞，该漏洞允许恶意镜像通过错误的 Env 条目将宿主机环境变量泄露到容器中，甚至可利用通配符 * 泄露大量变量。此外，golang.org/x/crypto 库已更新至 v0.53.0 以修复相关安全问题。同时，修复了远程 Podman 客户端在 Linux 系统上使用 podman save 命令时指定 -f oci-dir 或 -f docker-dir 参数失败的问题。

更新内容 （中文）

安全

  • 本次发布修复了CVE-2026-57231漏洞，该漏洞涉及恶意镜像通过伪造Env条目可导致宿主机环境变量泄漏至基于该镜像运行的容器中，包括利用*通配符操作符在不知确切变量名的情况下泄漏大量环境变量（GHSA-4hq8-gpf5-8p68）。
  • 已将golang.org/x/crypto库更新至v0.53.0版本，修复了CVE-2026-39830和CVE-2026-42508漏洞。

错误修复

  • 修复了远程Podman客户端的podman save命令在Linux系统上使用-f oci-dir或-f docker-dir参数时执行失败的问题。

更新内容 （原始）

Security

  • This release addresses CVE-2026-57231, where a malicious image using malformed Env entries could cause host environment variables to leak into containers run based on the image, including the ability to use the * glob operator to leak large numbers of environment variables without knowing their exact names (GHSA-4hq8-gpf5-8p68).
  • The golang.org/x/crypto library has been updated to v0.53.0, addressing CVE-2026-39830 and CVE-2026-42508.

Bugfixes

  • Fixed a bug where the remote Podman client’s podman save command would fail on Linux when using the -f oci-dir or -f docker-dir arguments.

下载链接