I CRI-O, runtime til håndtering af isolerede containere, er der opdaget en kritisk sårbarhed (CVE-2022-0811), der muliggør omgåelse af isolationen og udførelse af ens kode på værtsystemet. Hvis man bruger CRI-O i stedet for containerd og Docker til opstart af containere, der kører på Kubernetes-platformen, kan en angriber få kontrol over enhver node i Kubernetes-klusteret. For at udføre angrebet kræves det blot rettigheder til at starte sin egen container i Kubernetes-klusteret.
Sårbarheden skyldes muligheden for at ændre kernel-sysctl-parameteren "kernel.core_pattern" ("/proc/sys/kernel/core_pattern"), som ikke blev blokkeret, selvom den ikke er blandt de sikre parametre, der kun gælder indenfor det aktuelle container-navnerum. Ved hjælp af denne parameter kan en bruger fra containeren ændre Linux-kerne's opførsel i forhold til håndtering af core-filer på værtsmiljøet og udføre vilkårlige kommandoer med root-rettigheder på værten ved at angive en handler af typen "|/bin/sh -c 'kommandoer'".
Problemet optræder fra version 1.19.0 af CRI-O og er blevet løst i opdateringerne 1.19.6, 1.20.7, 1.21.6, 1.22.3, 1.23.2 og 1.24.0. I distributioner viser problemet sig i produkter som Red Hat OpenShift Container Platform og openSUSE/SUSE, hvor der findes et pakke med navnet cri-o i repositorierne.
Kilde: opennet.ru
