Ringkasan

Saya baca catatan rilis Podman v6.1.3, dan isinya singkat tapi penting: ini rilis keamanan yang menambal CVE-2026-94603 terkait checkpoint image. Yang menarik perhatian saya adalah bagaimana fix-nya tidak cuma menambal bug, tapi langsung mencabut seluruh dukungan checkpoint image di podman run karena model keamanannya dianggap tidak bisa diperbaiki secara aman.

Masalah yang diselesaikan

Intinya, checkpoint image itu adalah image container apa pun yang punya annotation io.podman.annotations.checkpoint.runtime.name. Ketika image seperti ini dijalankan lewat podman run, Podman ternyata bisa menonaktifkan seluruh sandboxing saat container dibuat — termasuk konfigurasi keamanan yang sudah secara eksplisit diset oleh user. Ini masuk akal kalau dipikir dari sisi mekanisme checkpoint/restore: proses restore pada dasarnya "menghidupkan ulang" state container dari snapshot, dan proses itu punya model keamanan sendiri yang berbeda dari container yang dijalankan normal. Masalahnya, proses restore itu mengabaikan konfigurasi keamanan yang diminta user, sehingga menurut tim Podman sendiri, checkpoint sangat sulit dijalankan dengan aman lewat jalur podman run biasa.

Fitur utama dan contoh kode

Karena ini pencabutan fitur (bukan fitur baru), yang relevan buat saya adalah efeknya ke workflow. Sebelumnya, orang bisa saja menjalankan checkpoint image langsung lewat podman run seperti image biasa:

# Sebelum v6.1.3 — ini yang sekarang DIBLOKIR
podman run --annotation io.podman.annotations.checkpoint.runtime.name=runc checkpoint-image:latest

Mulai v6.1.3, path ini ditutup. Kalau memang butuh restore container dari checkpoint, jalur yang tersedia tetap lewat command checkpoint/restore khusus milik Podman, bukan podman run:

# Ilustrasi arah command yang tetap didukung (bukan dikutip dari release notes)
podman container checkpoint my-container --export=/tmp/checkpoint.tar
podman container restore --import=/tmp/checkpoint.tar

Release notes sendiri tidak merinci command pengganti secara eksplisit, jadi dua baris di atas cuma ilustrasi saya soal jalur yang masih masuk akal dipakai.

Dampak dan catatan upgrade

Ini breaking change: kalau ada automation atau script yang selama ini mengandalkan podman run untuk menjalankan checkpoint image langsung, itu akan gagal setelah upgrade ke v6.1.3. Tapi karena akar masalahnya adalah CVE yang bisa menonaktifkan seluruh sandboxing container — termasuk yang sudah diset user — saya melihat ini sebagai upgrade yang sebaiknya tidak ditunda, terutama untuk environment yang memakai fitur checkpoint/restore Podman sama sekali.

---

Pertama diumumkan di Podman releases. Baca sumber aslinya untuk detail lengkap.

Baca juga