发布日期: 2026-09-16
版本号: v5.8.7

本次发布修复了 CVE-2025-11395 安全漏洞：使用 podman load 命令导入包含恶意构造层压缩包的镜像，或者使用 podman volume import 导入包含恶意构造符号链接的卷时，可能导致宿主机上的文件被覆盖。本次发布同时修复了 CVE-2026-79699 和 CVE-2026-79705，不过官方认为这两个漏洞无法通过 Podman 命令行被利用。其他更新包括将 Buildah 升级至 v1.43.4、Common 升级至 v0.67.2、Image 升级至 v5.39.3、Storage 升级至 v1.62.1。 未核实各 CVE 的具体影响范围与版本兼容性。

更新内容 （中文）

安全

  • 本次发布修复了 CVE-2025-11395：使用 podman load 命令导入包含特制层 tarball 的镜像，或使用 podman volume import 导入包含特制符号链接的卷时，可能覆盖宿主机上的文件。
  • 本次发布还修复了 CVE-2026-79699 和 CVE-2026-79705，不过我们认为这些 CVE 无法通过 Podman 命令行被利用。

其他

  • 将 Buildah 更新至 v1.43.4
  • 将 Common 更新至 v0.67.2
  • 将 Image 更新至 v5.39.3
  • 将 Storage 更新至 v1.62.1

本次未执行其他操作，仅按原文逐段翻译。

更新内容 （原始）

Security

  • This release addresses (CVE-2025-11395), where importing images containing crafted layer tarballs with the podman load command, or importing volumes containing crafted symlinks with podman volume import, allows overwriting files on the host.
  • This release also addresses CVE-2026-79699 and CVE-2026-79705, though we do not believe these CVEs are exploitable through the Podman command line.

Misc

  • Updated Buildah to v1.43.4
  • Updated Common to v0.67.2
  • Updated Image to v5.39.3
  • Updated Storage to v1.62.1

下载链接