{"id":113376,"date":"2024-02-03T13:41:10","date_gmt":"2024-02-03T11:41:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-runc-pozvolyayushhaya-vybratsya-iz-kontejnerov-docker-i-kubernetes"},"modified":"2024-02-03T13:41:10","modified_gmt":"2024-02-03T11:41:10","slug":"uyazvimost-v-runc-pozvolyayushhaya-vybratsya-iz-kontejnerov-docker-i-kubernetes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-runc-pozvolyayushhaya-vybratsya-iz-kontejnerov-docker-i-kubernetes","title":{"rendered":"S\u00e5rbarhed i runc, der muligg\u00f8r at slippe ud af Docker- og Kubernetes-containere","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I v\u00e6rkt\u00f8jet til at k\u00f8re isolerede containere runc, der anvendes i Docker og Kubernetes, er der fundet en s\u00e5rbarhed CVE-2024-21626, som tillader adgang til filsystemet i v\u00e6rtsmilj\u00f8et fra den isolerede container. Under et angreb kan en angriber overskrive visse eksekverbare filer i v\u00e6rtsmilj\u00f8et og derved opn\u00e5 udf\u00f8relse af sin kode uden for containeren. Problemet opst\u00e5r ikke i runtime crun og youki, der bruger runc, samt i LXC. S\u00e5rbarheden er blevet udbedret i udgivelsen runc 1.1.12. <\/p>\n

Ved brug af Docker- eller Kubernetes-v\u00e6rkt\u00f8jer kan et angreb udf\u00f8res ved at forberede et specielt designet containerbillede, efter installation og opstart af hvilket der kan tilg\u00e5s den eksterne filsystem fra containeren. Ved brug af Docker er der mulighed for udnyttelse gennem et specielt designet Dockerfile. S\u00e5rbarheden kan ogs\u00e5 udnyttes i tilf\u00e6lde af at processer startes i containeren med kommandoen «runc exec» ved at binde arbejdsbiblioteket til v\u00e6rtsmilj\u00f8ets navnerum. <\/p>\n

S\u00e5rbarheden skyldes l\u00e6kage af interne filbeskrivelser. F\u00f8r koden k\u00f8rer inde i containeren, udf\u00f8rer runc lukning af alle filbeskrivelser ved hj\u00e6lp af flaget O_CLOEXEC. Ikke desto mindre forbliver en filbeskrivelse, der peger p\u00e5 arbejdsbiblioteket \u00e5ben efter den efterf\u00f8lgende udf\u00f8relse af funktionen setcwd(), og forbliver tilg\u00e6ngelig efter containerens opstart. Der er blevet foresl\u00e5et flere grundl\u00e6ggende angrebs scenarier mod v\u00e6rtsmilj\u00f8et ved hj\u00e6lp af den resterende filbeskrivelse. <\/p>\n

For eksempel kan en angriber angive parameteren process.cwd i containerbilledet til « \/proc\/self\/fd\/7\/ », hvilket vil f\u00f8re til binding af arbejdsbiblioteket til process pid1 i containeren, der befinder sig i v\u00e6rtsmilj\u00f8ets mount-point. Dermed kan containerbilledet konfigureres til at starte « \/proc\/self\/fd\/7\/..\/..\/..\/bin\/bash» og gennem udf\u00f8relsen af et shell-script overskrive indholdet af « \/proc\/self\/exe», som henviser til v\u00e6rtskopien \/bin\/bash. <\/p>\n

En anden variant af angrebet g\u00f8r det muligt for en angriber, der er begr\u00e6nset inden for containeren, at f\u00e5 adgang til v\u00e6rtsmilj\u00f8ets bibliotek, hvis der k\u00f8res privilegerede processer i den angivne container ved hj\u00e6lp af kommandoen «runc exec med optionen «—cwd». Angriberen kan \u00e6ndre stien til den k\u00f8rende proces til et symbolsk link, der henviser til « \/proc\/self\/fd\/7\/ » og opn\u00e5 \u00e5bning af « \/proc\/$exec_pid\/cwd» for adgang til filsystemet p\u00e5 v\u00e6rten. Angriberen kan ogs\u00e5 opn\u00e5 overskrivning af eksekverbare filer p\u00e5 v\u00e6rten ved at organisere starten af en eksekverbar fil fra v\u00e6rtsmilj\u00f8et (« \/proc\/self\/fd\/7\/..\/..\/..\/bin\/bash») efterfulgt af overskrivningen af filen « \/proc\/$pid\/exe», der henviser til den k\u00f8rende fil. <\/p>\n

Desuden er der fundet fem andre s\u00e5rbarheder i komponenterne af Docker-v\u00e6rkt\u00f8jet: <\/p>\n