V nástroji pro spouštění izolovaných kontejnerů runc, používaném v Dockeru a Kubernetes, byla objevena zranitelnost (CVE-2021-30465), která umožňuje přístup z kontejneru k hlavnímu souborovému systému hostitelského prostředí. Pomocí manipulací se symbolickými odkazy lze připravit na pohled bezúhonnou konfiguraci kontejneru, která povede k bind-montování externího FS uvnitř kontejneru. Problém byl odstraněn v aktualizaci runc 1.0.0-rc95.
Pro zneužití zranitelnosti musí útočník mít možnost spouštět kontejnery s dalšími body připojení v konfiguraci (například problém se reprodukuje v prostředích založených na Kubernetes, kde uživatelé mohou spouštět své kontejnery). Vzhledem k existenci časového okna mezi kontrolou a použitím bodů připojení na oddíly, sdílené s jinými kontejnery, může útočník během spuštění kontejneru využít stavu závodu a nahradit používaný adresář při připojení v kontejneru symbolickým odkazem na oblast mimo kořen FS kontejneru.
Zdroj: opennet.ru
