Що нового в Podman 6.2

Коротко

У релізі Podman 6.2 виправлено три вразливості безпеки та суттєво розширено функціональність команди podman kube play. Провайдер Podman machine WSL перейшов на нативний systemd, а генератор Quadlet отримав нові директиви для налаштування umask і залежностей монтування. Також додано нові прапорці для CLI, зокрема вибіркове оновлення в podman auto-update та фільтрацію подій за мережами.

Нові можливості

Робота з Kubernetes YAML (podman kube play)

• Додано опцію --validate, яка визначає спосіб обробки нерозпізнаних полів YAML.
• Додано опцію --label для призначення міток створеним контейнерам, подам, томам і секретам.
• Додано прапорець --multiple-pods, який дозволяє створювати кілька подів, якщо у Deployment запитано більше ніж одну репліку.
• Команда podman kube play --build тепер уміє збирати образи з підкаталогів основного каталогу контексту.

Покращення Quadlet

• У файлах .container тепер підтримується ключ Umask, що задає стандартну umask для створеного контейнера.
• В усіх типах файлів Quadlet став доступним ключ SetMountsDependency. Він визначає, яку залежність згенерований юніт використовуватиме для потрібних вихідних шляхів: RequiresMountsFor, WantsMountsFor або без залежності взагалі.

Інші команди CLI та контейнери

• Команда podman push отримала прапорець --platform, який дозволяє вибрати й відправити маніфест лише для однієї конкретної платформи замість усього списку.
• Для podman auto-update додано опцію --filter для вибіркового оновлення лише відповідних контейнерів, а саму команду ввімкнено на віддаленому клієнті Podman.
• У конфігурації healthcheck образів тепер враховується поле StartInterval, що дає змогу налаштовувати перевірки під час запуску.
• Команда podman create тепер підтримує опцію --passwd для додавання записів до /etc/passwd контейнера (раніше це було доступно лише у podman run).
• До podman events --filter додано фільтр network= для відбору подій конкретної мережі.
• Для podman image scp з'явилися прапорці --compression-format та --compression-level для стиснення даних під час передачі.
• Команда podman ps --sort дозволяє сортувати контейнери за подами, а podman ps --filter підтримує умову status!, яка вибирає контейнери, що не перебувають у вказаному стані.
• Команда podman artifact ls отримала параметри --format=json та --quiet (виводить лише дайджести), а podman farm list — --quiet (тільки назви активних ферм) та --noheading.
• У вивід podman info додано детальну інформацію про можливості, які підтримуються OCI runtimes.

Виправлення та покращення

Безпека

• Виправлено CVE-2026-121885: ненадійні мітки образів могли змусити podman auto-update перезапускати некоректні юніти systemd.
• Виправлено CVE-2026-111361: шкідливі образи контейнерів могли обходити валідацію Digest та підпису.
• Виправлено CVE-2026-123876: шкідливий контейнер міг обійти стандартне правило заборони сокетів у профілі seccomp.

Зміни у поведінці

• Для збирання Podman тепер потрібен Go версії 1.26 або новішої.
• Провайдер WSL у Podman machine отримав нативну підтримку systemd (вимагається WSL версії від 2.5.1, рекомендовано від 2.7.5 для належної роботи мережі з nftables).
• Для podman kube play конфігурація Seccomp тепер зчитується з полів securityContext.seccompProfile, а конфігурація на основі анотацій стала застарілою.
• Увімкнено проксування сигналів для підключених команд podman exec: зупинка команди комбінацією на зразок Control-C тепер також зупиняє процеси всередині контейнера.
• У podman inspect для контейнерів додано поля DNSNames, IsInitCtr та InitContainerType, поле Aliases тепер показує лише додані користувачем DNS-псевдоніми, а для запущених контейнерів коректно заповнюється ConsoleSize.
• Якщо інтервал startup healthcheck задано без спеціальної команди, за замовчуванням використовується стандартна команда healthcheck.
• Опції --cpu-rt-period та --cpu-rt-runtime для команд podman create, podman run, podman update та podman container clone тепер приховані й недокументовані через відсутність функціональності після видалення cgroups v1.
• У драйвері подій journald припинено дублювання міток часу в тілі події.
• Юніти systemd для healthcheck тепер отримують структуровані назви виду libpod-healthcheck-$CONTAINERID-$randsuffix.service.
• Quadlet тепер підтримує створення екземплярів шаблонів із каталогів drop-in без потреби у явному файлі чи симлінку.

Помітні виправлення помилок

• Виправлено помилку, через яку передача порожнього файлу в --ignorefile для podman build змушувала команду використовувати .dockerignore або .containerignore з контексту замість ігнорування правил.
• Усунено зависання podman machine start на Windows при використанні Hyper-V та WSL через залишкові процеси чи збої старту VM.
• Виправлено обробку томів emptyDir з параметром medium: Memory у podman kube play, через яку томи не шерилися між контейнерами в поді та ігнорували ліміт sizeLimit.
• Усунено помилку у віддаленому клієнті Podman, через яку команди podman push, podman artifact push та podman manifest push відправляли непідписаний образ замість аварійного завершення у разі використання --sign-by або --sign-by-sigstore-private-key.
• Контейнери зі створеним прапорцем --userns=keep-id більше не використовують користувача з образу замість збереження хостових UID/GID.
• Виправлено баг, через який аргумент --pids-limit=0 встановлював ліміт замість його зняття при використанні рантайму runc.
• Виправлено скидання оновлення стану на unhealthy для контейнерів, якщо стартовий період завершився, а startup healthcheck завершився з помилкою.
• Виправлено помилки монтування оверлей-томів у контейнерах, створених з --userns=auto, а також відновлення томів юнітами Quadlet .volume після їх ручного видалення в Podman.