ডকারে দুর্বলতা যা আপনাকে কন্টেইনার থেকে পালাতে দেয়

বিচ্ছিন্ন লিনাক্স ডকার কন্টেইনার পরিচালনার জন্য টুলকিটে চিহ্নিত দুর্বলতা (জন্য CVE-2018-15664), যা, একটি নির্দিষ্ট সেটের পরিস্থিতিতে, যদি আপনার সিস্টেমে আপনার ছবিগুলি চালু করার ক্ষমতা থাকে বা চলমান কন্টেইনারে অ্যাক্সেস সহ আপনাকে একটি ধারক থেকে হোস্ট পরিবেশে অ্যাক্সেস করতে দেয়৷ সমস্যাটি ডকারের সমস্ত সংস্করণে উপস্থিত হয় এবং অপরিবর্তিত থাকে (প্রস্তাবিত, কিন্তু এখনও গৃহীত হয়নি, তালি, যা FS-এর সাথে অপারেশন করার সময় কন্টেইনারের সাসপেনশন প্রয়োগ করে)।

"ডকার সিপি" কমান্ড কার্যকর করার সময় দুর্বলতা ফাইলগুলিকে একটি ধারক থেকে হোস্ট সিস্টেমের ফাইল সিস্টেমের একটি নির্বিচারে অংশে নিষ্কাশন করার অনুমতি দেয়। ফাইল নিষ্কাশন রুট অধিকারের সাথে সঞ্চালিত হয়, যা হোস্ট পরিবেশে যেকোনো ফাইল পড়া বা লেখা সম্ভব করে, যা হোস্ট সিস্টেমের নিয়ন্ত্রণ লাভের জন্য যথেষ্ট (উদাহরণস্বরূপ, আপনি /etc/shadow ওভাররাইট করতে পারেন)।

আক্রমণটি তখনই করা যেতে পারে যখন অ্যাডমিনিস্ট্রেটর কন্টেইনারে বা থেকে ফাইল কপি করার জন্য "ডকার সিপি" কমান্ডটি কার্যকর করে। এইভাবে, আক্রমণকারীকে কোনোভাবে ডকার অ্যাডমিনিস্ট্রেটরকে এই ক্রিয়াকলাপটি সম্পাদন করার প্রয়োজনীয়তা বোঝাতে হবে এবং অনুলিপি করার সময় ব্যবহৃত পথের পূর্বাভাস দিতে হবে। অন্যদিকে, একটি আক্রমণ করা যেতে পারে, উদাহরণস্বরূপ, যখন ক্লাউড পরিষেবাগুলি "ডকার সিপি" কমান্ড ব্যবহার করে নির্মিত কনটেইনারে কনফিগারেশন ফাইলগুলি অনুলিপি করার জন্য সরঞ্জাম সরবরাহ করে।

ফাংশনের প্রয়োগে ত্রুটির কারণে সমস্যাটি হয় SymlinkInScope অনুসরণ করুন, যা আপেক্ষিক পাথের উপর ভিত্তি করে মূল ফাইল সিস্টেমে পরম পাথ গণনা করে, ধারকটির স্থান নির্ধারণকে বিবেচনা করে। "ডকার সিপি" কমান্ড চালানোর সময়, একটি স্বল্পমেয়াদী জাতি শর্ত, যেখানে পথ ইতিমধ্যে যাচাই করা হয়েছে, কিন্তু অপারেশন এখনও সঞ্চালিত হয়নি. যেহেতু অনুলিপিটি হোস্ট সিস্টেমের প্রধান ফাইল সিস্টেমের প্রেক্ষাপটে সঞ্চালিত হয়, একটি নির্দিষ্ট সময়ের মধ্যে, আপনি লিঙ্কটিকে অন্য পাথ দিয়ে প্রতিস্থাপন করতে এবং ফাইল সিস্টেমের বাইরের একটি নির্বিচারে অবস্থানে ডেটা অনুলিপি করা শুরু করতে পারেন। ধারক

যেহেতু একটি রেস অবস্থা ঘটতে সময় উইন্ডো একটি প্রস্তুত মধ্যে অত্যন্ত সীমিত প্রোটোটাইপ শোষণ একটি ধারক থেকে অনুলিপি অপারেশন সম্পাদন করার সময়, অনুলিপি অপারেশনে ব্যবহৃত পথে একটি প্রতীকী লিঙ্ককে চক্রাকারে প্রতিস্থাপন করার সময় 1% এরও কম ক্ষেত্রে সফল আক্রমণ অর্জন করা সম্ভব ছিল (আনুমানিক 10 সেকেন্ডের প্রচেষ্টার পরে সফল আক্রমণ করা হয়েছিল "ডকার সিপি" কমান্ডের সাহায্যে একটি লুপে ফাইলটিকে ক্রমাগত অনুলিপি করতে)।

একটি কন্টেইনারে একটি অনুলিপি অপারেশন সম্পাদন করার মাধ্যমে, আপনি মাত্র কয়েকটি পুনরাবৃত্তির মধ্যে হোস্ট সিস্টেমে একটি পুনরাবৃত্তিযোগ্য ফাইল ওভাররাইট আক্রমণ অর্জন করতে পারেন। আক্রমণের সম্ভাবনা এই কারণে যে একটি কন্টেইনারে অনুলিপি করার সময়, "chrootarchive" ধারণাটি ব্যবহার করা হয়, যা অনুসারে archive.go প্রক্রিয়া সংরক্ষণাগারটিকে কন্টেইনার রুটের ক্রুটে নয়, বরং ক্রোটটির ক্রোটটিতে বের করে। লক্ষ্য পথের প্যারেন্ট ডিরেক্টরি, আক্রমণকারী দ্বারা নিয়ন্ত্রিত, এবং কন্টেইনার কার্যকর করা বন্ধ করে না (ক্রোট জাতি অবস্থার শোষণের জন্য একটি চিহ্ন হিসাবে ব্যবহৃত হয়)।

উত্স: opennet.ru