CVE:CVE-2021-43816
CNNVD:CNNVD-202201-295
containerd是美国阿帕奇（Apache）基金会的一个容器守护进程。该进程根据 RunC OCI 规范负责控制宿主机上容器的完整周期。
containerd 存在安全漏洞，该漏洞源于自 v1.5.0-beta.0 起的 containerd 作为后备容器运行时接口 (CRI)，调度到节点的非特权 pod 可能会绑定 mount , 通过 hostPath 卷，磁盘上的任何特权的常规文件以进行完整的读/写访问（无删除）。 这是通过将 hostPath 卷挂载的容器内位置放置在`/etc/hosts`、`/etc/hostname` 或`/etc/resolv.conf` 来实现的。 这些位置被不加选择地重新标记以匹配容器进程标签，这有效地提升了通常无法访问特权主机文件的精明容器的权限。 此问题已在 1.5.9 版中解决。 建议用户尽快升级。
solution:Upgrade linuxfoundation containerd to a higher version than 1.5.9,1.5.0,1.5.0:beta0,1.5.0:beta1,1.5.0:beta2,1.5.0:beta3,1.5.0:beta4,1.5.0:rc0,1.5.0:rc1,1.5.0:rc2,1.5.0:rc3,and avoid the version [1.5.1,1.5.9),1.5.0,1.5.0:beta0,1.5.0:beta1,1.5.0:beta2,1.5.0:beta3,1.5.0:beta4,1.5.0:rc0,1.5.0:rc1,1.5.0:rc2,1.5.0:rc3; Upgrade fedoraproject fedora to a higher version than 34,35,and avoid the version 34,35