{"id":103483,"date":"2022-03-06T15:36:45","date_gmt":"2022-03-06T13:36:47","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera"},"modified":"2022-03-06T15:36:45","modified_gmt":"2022-03-06T13:36:47","slug":"uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera","title":{"rendered":"En s\u00e5rbarhed i cgroups v1, der tillader at forlade en isoleret container","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Detaljer om s\u00e5rbarheden (CVE-2022-0492) i implementeringen af ressourcebegr\u00e6nsningsmekanismen cgroups v1 i Linux-kernen er blevet afsl\u00f8ret. Denne s\u00e5rbarhed kan bruges til at undslippe isolerede containere. Problemet opst\u00e5r fra Linux-kernen version 2.6.24 og er blevet rettet i kernel-versioner 5.16.12, 5.15.26, 5.10.97, 5.4.177, 4.19.229, 4.14.266 og 4.9.301. Opdateringer af pakker i distributionerne kan f\u00f8lges p\u00e5 f\u00f8lgende sider: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux. <\/p>\n
S\u00e5rbarheden skyldes en logisk fejl i h\u00e5ndteringen af release_agent-filer, hvilket betyder, at de n\u00f8dvendige kontroloperationer ikke blev udf\u00f8rt, n\u00e5r h\u00e5ndtereren blev k\u00f8rt med fulde rettigheder. Filen release_agent bruges til at bestemme, hvilket program kernen udf\u00f8rer, n\u00e5r en proces afsluttes i cgroup. Dette program k\u00f8res med root-rettigheder og alle 'capabilities' i rodnavnerummet. Det var meningen, at kun administratorer skulle have adgang til konfigurationen af release_agent, men i praksis blev kontrollen begr\u00e6nset til at give adgang til root-brugeren, hvilket ikke udelukkede \u00e6ndringer i konfigurationen fra en container eller af root-brugere uden administratorrettigheder (CAP_SYS_ADMIN). <\/p>\n
Tidligere ville en s\u00e5dan karakteristika ikke v\u00e6re blevet opfattet som en s\u00e5rbarhed, men situationen har \u00e6ndret sig med introduktionen af user namespaces, som g\u00f8r det muligt at oprette separerede root-brugere i containere, der ikke krydser over med root-brugerens konto i hovedmilj\u00f8et. Derfor er det tilstr\u00e6kkeligt at tilslutte sin egen release_agent-handler i en container, der har sin egen root-bruger i et separat user namespace, som efter afslutningen af processen vil blive udf\u00f8rt med fulde privilegier i hovedmilj\u00f8et. <\/p>\n
Som standard er cgroupfs monteret i containeren i skrivebeskyttet tilstand, men der er ikke problemer med at remontere dette pseudofilsystem i skrivebar tilstand, hvis man har CAP_SYS_ADMIN-rettigheder, eller ved at oprette en indlejret container med et separat user namespace via systemkaldet unshare, hvor de n\u00f8dvendige CAP_SYS_ADMIN-rettigheder er tilg\u00e6ngelige for den oprettede container.
<\/center> <\/p>\n
Angrebet kan finde sted, hvis der er root-rettigheder i en isoleret container eller ved at starte en container uden no_new_privs-flaget, der forhindrer opn\u00e5else af yderligere privilegier. Systemet skal have underst\u00f8ttelse af user namespaces aktiveret (som standard aktiveret i Ubuntu og Fedora, men ikke i Debian og RHEL) og have adgang til root cgroup v1 (for eksempel starter Docker containere i root RDMA cgroup). Angrebet er ogs\u00e5 muligt med privilegierne CAP_SYS_ADMIN, i dette tilf\u00e6lde er underst\u00f8ttelse af user namespaces og adgang til root cgroup v1-hierarkiet ikke n\u00f8dvendigt. <\/p>\n
Udover muligheden for at komme ud af den isolerede container tillader s\u00e5rbarheden ogs\u00e5, at processer, der er startet af root-brugeren uden 'capabilities' eller enhver bruger med CAP_DAC_OVERRIDE-rettigheder (for at udf\u00f8re angrebet kr\u00e6ves adgang til filen \/sys\/fs\/cgroup\/*\/release_agent, som tilh\u00f8rer root), f\u00e5r adgang til alle systemets 'capabilities'. <\/p>\n
![\"En](\"\/wp-content\/uploads\/2022\/03\/710b37582c444cc4be7d6ae4695c8afe.jpg\")
<\/center> <\/p>\n