V CRI-O, runtime pro správu izolovaných kontejnerů, byla nalezena kritická zranitelnost (CVE-2022-0811), která umožňuje obejít izolaci a vykonat svůj kód na straně hostitelského systému. V případě použití CRI-O namísto containerd a Docker pro organizaci spuštění kontejnerů běžících na platformě Kubernetes, útočník může získat kontrolu nad jakýmkoliv uzlem v clusteru Kubernetes. Pro provedení útoku stačí mít oprávnění ke spuštění svého kontejneru v clusteru Kubernetes.
Zranitelnost je způsobena možností změny sysctl parametru jádra „kernel.core_pattern“ („/proc/sys/kernel/core_pattern“), jehož přístup nebyl blokován, ačkoli nepatří mezi bezpečné parametry vhodné ke změně, které platí pouze v jmenném prostoru aktuálního kontejneru. Pomocí tohoto parametru může uživatel z kontejneru změnit chování jádra Linuxu ohledně zpracování core souborů na straně hostitelského prostředí a uspořádat spuštění libovolného příkazu s právy root na straně hostitele tím, že určí zpracovatele typu „|/bin/sh -c 'příkazy'“.
Problém se projevuje od verze CRI-O 1.19.0 a byl odstraněn v aktualizacích 1.19.6, 1.20.7, 1.21.6, 1.22.3, 1.23.2 a 1.24.0. V distribučních produktech se problém projevuje v produktech Red Hat OpenShift Container Platform a openSUSE/SUSE, ve kterých je k dispozici balíček cri-o.
Zdroj: opennet.ru
