Уязвимост в runc, позволяваща достъп до файлова система извън контейнера

В инструментариума за стартиране на изолирани контейнери runc, използван в Docker и Kubernetes, е открита уязвимост (CVE-2021-30465), която позволява достъп от контейнера до основната файлова система на хост околната среда. Чрез манипулации със символни линкове може да се подготви на вид безобидна конфигурация на контейнера, която ще доведе до bind-монтиране на външна файлова система вътре в контейнера. Проблемът е отстранен в обновлението runc 1.0.0-rc95.

За експлоатация на уязвимостта атакуващият трябва да има възможност да стартира контейнери с допълнителни точки на монтиране в конфигурацията (например, проблемът се проявява в среди, базирани на Kubernetes, където потребителите могат да стартират своите контейнери). Поради наличието на времеви отвор между проверката и използването на точките на монтиране на дялове, споделяни с други контейнери, атакуващият може по време на стартиране на контейнера да се възползва от условие на състезание и да подмени използвания при монтиране в контейнера каталог със символна връзка към област извън корена на файлова система на контейнера.

Източник: opennet.ru