В CRI-O, среде выполнения для управления изолированными контейнерами, была обнаружена критическая уязвимость (CVE-2022-0811), позволяющая обойти изоляцию и выполнить свой код на стороне хост-системы. Если используется CRI-O вместо containerd и Docker для запуска контейнеров на платформе Kubernetes, атакующий может получить контроль над любым узлом в кластере Kubernetes. Для атаки достаточно иметь права на запуск своего контейнера в кластере Kubernetes.
Уязвимостта е причинена от възможността за промяна на sysctl параметъра на ядрото „kernel.core_pattern“ („/proc/sys/kernel/core_pattern“), достъпът до който не е блокиран, въпреки че не е част от безопасните за промяна параметри, действащи само в пространството на текущия контейнер. С помощта на този параметър потребителят от контейнера може да промени поведението на ядрото на Linux относно обработката на core файловете на страната на хост околната среда и да организира изпълнението на произволна команда с права root на страната на хоста, като посочи обработчик от типа „|/bin/sh -c 'команди'“.
Проблема проявляется, начиная с выпуска CRI-O 1.19.0 и устранена в обновлениях 1.19.6, 1.20.7, 1.21.6, 1.22.3, 1.23.2 и 1.24.0. В дистрибутивах проблема проявляется в продуктах Red Hat OpenShift Container Platform и openSUSE/SUSE, в репозиториях которых имеется пакет cri-o.
Източник: opennet.ru
