V n\u00e1stroj\u00edch pro spu\u0161t\u011bn\u00ed izolovan\u00fdch kontejner\u016f runc, pou\u017e\u00edvan\u00e9m v Dockeru a Kubernetes, byla nalezena zranitelnost CVE-2024-21626, kter\u00e1 umo\u017e\u0148uje p\u0159\u00edstup k souborov\u00e9mu syst\u00e9mu hostitelsk\u00e9ho prost\u0159ed\u00ed z izolovan\u00e9ho kontejneru. B\u011bhem \u00fatoku m\u016f\u017ee \u00fato\u010dn\u00edk p\u0159epsat n\u011bkter\u00e9 spustiteln\u00e9 soubory v hostitelsk\u00e9m prost\u0159ed\u00ed a t\u00edm dos\u00e1hnout proveden\u00ed sv\u00e9ho k\u00f3du mimo kontejner. V runtime crun a youki, kter\u00e9 pou\u017e\u00edvaj\u00ed runc, stejn\u011b jako v LXC, probl\u00e9m neexistuje. Zranitelnost byla odstran\u011bna v verzi runc 1.1.12. <\/p>\n
Pokud se pou\u017e\u00edvaj\u00ed n\u00e1stroje Docker nebo Kubernetes, m\u016f\u017ee b\u00fdt \u00fatok proveden prost\u0159ednictv\u00edm p\u0159\u00edpravy speci\u00e1ln\u011b upraven\u00e9ho obrazu kontejneru, po jeho\u017e instalaci a spu\u0161t\u011bn\u00ed je mo\u017en\u00e9 z kontejneru p\u0159istupovat k extern\u00edmu souborov\u00e9mu syst\u00e9mu. P\u0159i pou\u017eit\u00ed Dockeru existuje mo\u017enost zneu\u017eit\u00ed prost\u0159ednictv\u00edm speci\u00e1ln\u011b vytvo\u0159en\u00e9ho Dockerfile. Zranitelnost m\u016f\u017ee b\u00fdt tak\u00e9 zneu\u017eita, pokud jsou v kontejneru spu\u0161t\u011bny procesy p\u0159\u00edkazem 'runc exec' prost\u0159ednictv\u00edm p\u0159ipojen\u00ed pracovn\u00edho adres\u00e1\u0159e k jmenn\u00e9mu prostoru hostitelsk\u00e9ho prost\u0159ed\u00ed. <\/p>\n
Zranitelnost je zp\u016fsobena \u00fanikem vnit\u0159n\u00edch souborov\u00fdch descriptor\u016f. P\u0159ed spu\u0161t\u011bn\u00edm k\u00f3du uvnit\u0159 kontejneru se v runc uzav\u00edraj\u00ed v\u0161echny souborov\u00e9 deskriptory pomoc\u00ed p\u0159\u00edznaku O_CLOEXEC. Nicm\u00e9n\u011b po n\u00e1sledn\u00e9m proveden\u00ed funkce setcwd() z\u016fst\u00e1v\u00e1 otev\u0159en\u00fd souborov\u00fd deskriptor, kter\u00fd odkazuje na pracovn\u00ed adres\u00e1\u0159 a pokra\u010duje v dostupnosti po spu\u0161t\u011bn\u00ed kontejneru. Bylo navr\u017eeno n\u011bkolik z\u00e1kladn\u00edch sc\u00e9n\u00e1\u0159\u016f \u00fatoku na hostitelsk\u00e9 prost\u0159ed\u00ed pomoc\u00ed zb\u00fdvaj\u00edc\u00edho souborov\u00e9ho deskriptoru. <\/p>\n
\u00dato\u010dn\u00edk nap\u0159\u00edklad m\u016f\u017ee v obraze kontejneru zadat parametr process.cwd, kter\u00fd odkazuje na '\/proc\/self\/fd\/7\/', co\u017e povede k p\u0159ipojen\u00ed pracovn\u00edho adres\u00e1\u0159e k procesu pid1 v kontejneru, kter\u00fd se nach\u00e1z\u00ed ve svazku montov\u00e1n\u00ed hostitelsk\u00e9ho prost\u0159ed\u00ed. Tak\u017ee v obraze kontejneru lze nastavit spu\u0161t\u011bn\u00ed '\/proc\/self\/fd\/7\/..\/..\/..\/bin\/bash' a prost\u0159ednictv\u00edm proveden\u00ed shell skriptu p\u0159epsat obsah '\/proc\/self\/exe', kter\u00fd odkazuje na hostitelskou kopii \/bin\/bash. <\/p>\n
Dal\u0161\u00ed varianta \u00fatoku umo\u017e\u0148uje \u00fato\u010dn\u00edkovi, jen\u017e je omezen uvnit\u0159 kontejneru, z\u00edskat p\u0159\u00edstup k adres\u00e1\u0159i hostitelsk\u00e9ho prost\u0159ed\u00ed, pokud jsou v dan\u00e9m kontejneru spu\u0161t\u011bny privilegovan\u00e9 procesy pomoc\u00ed p\u0159\u00edkazu 'runc exec' s p\u0159ep\u00edna\u010dem '--cwd'. \u00dato\u010dn\u00edk m\u016f\u017ee zm\u011bnit cestu spou\u0161t\u011bn\u00e9ho procesu na symbolick\u00fd odkaz, kter\u00fd ukazuje na '\/proc\/self\/fd\/7\/' a dos\u00e1hnout otev\u0159en\u00ed '\/proc\/$exec_pid\/cwd' pro p\u0159\u00edstup k souborov\u00e9mu syst\u00e9mu na hostiteli. \u00dato\u010dn\u00edk tak\u00e9 m\u016f\u017ee p\u0159epsat spustiteln\u00e9 soubory na stran\u011b hostitelsk\u00e9ho prost\u0159ed\u00ed t\u00edm, \u017ee spust\u00ed spustiteln\u00fd soubor z hostitelsk\u00e9ho prost\u0159ed\u00ed ('\/proc\/self\/fd\/7\/..\/..\/..\/bin\/bash') s n\u00e1sledn\u00fdm p\u0159eps\u00e1n\u00edm souboru '\/proc\/$pid\/exe', kter\u00fd odkazuje na spu\u0161t\u011bn\u00fd soubor. <\/p>\n
Krom\u011b toho bylo v komponent\u00e1ch n\u00e1stroje Docker identifikov\u00e1no dal\u0161\u00edch p\u011bt zranitelnost\u00ed: <\/p>\n