Traefik 有两条尚无 CVE 的高危。Kubernetes Ingress NGINX provider 下,同一 host 上未对齐的 Ingress 会让 auth-tls-secret 配置的客户端证书认证被静默关闭(GHSA-p8wx-ph99-xgcr,CVSS 4.0 为 7.0)。实验特性 FastProxy 在 HTTP/1 协议升级后存在数据竞争,未认证客户端可让进程 panic(GHSA-ww7c-q3mv-xx22,CVSS 4.0 为 8.2)。请把 library/traefik 的 v3 升到 v3.7.15 或更高。v2 不受这两条影响。
Dell Container Storage Modules 1.18.0 之前一次披露 10 个高危或严重漏洞(DSA-2026-448)。其中 csm-authorization-storage 的 gRPC 服务没有认证,未认证攻击者可以拿到已注册存储阵列的管理员凭据(CVE-2026-63688,CVSS 10.0)。请升级到 CSM 1.18.0 及公告中的对应组件版本。官方镜像在 Quay.io。
国内机器上 docker pull 超时,常常是把只在云内网生效、或已经停用的地址写进了 daemon.json。本文按 2026 年 10 月 6 日的官方说明,写出腾讯云、阿里云、华为云和网易云各自还能怎么用,以及轩辕镜像专业版专属域名在 Docker、containerd 和 Podman 里的配置。适合高校、实验室和公司研发机,在本机、跨云或 NAS 上改加速。
启用从 checkpoint 归档恢复时,CRI-O 对恢复元数据校验不足,可能让有足够权限的用户对主机文件系统执行非预期操作(CVE-2026-15801,CVSS 约 8.0 High)。非默认配置;OpenShift 实际风险 Red Hat 评为 Moderate。临时勿开启 checkpoint/restore,等待厂商安全更新。
CRI-O 从 checkpoint 归档或带注解的 OCI 镜像恢复容器时,进程凭证、capabilities、no_new_privs 与 seccomp 按 checkpoint 数据恢复,未强制套用目标 Pod 的 Kubernetes security context(CVE-2026-92574,CVSS 约 8.8 High)。影响 CRI-O 1.34+ 与 OpenShift 4.17+;计划修复分支 1.36.6 / 1.35.9 / 1.34.14。临时关闭 checkpoint restore。
Linux 上启用 CRI 的 containerd,ExecSync(exec 探针、生命周期钩子)若拉起长驻后台子进程,stdio 排空协程可能永久阻塞并泄漏内存,最终可能被 OOM 杀掉 containerd。影响 1.x / 2.0 / 2.2 / 2.3 未修复分支,请升级至 1.7.35、2.0.12、2.2.8、2.3.5。