Im Tool zur Ausführung von isolierten Containern runc, das in Docker und Kubernetes verwendet wird, wurde eine Sicherheitsanfälligkeit (CVE-2021-30465) entdeckt, die es ermöglicht, von einem Container auf das zugrunde liegende Dateisystem der Host-Umgebung zuzugreifen. Durch die Manipulation von symbolischen Links kann eine scheinbar harmlose Containerkonfiguration erstellt werden, die zu einer Bind-Montage des externen Dateisystems innerhalb des Containers führt. Das Problem wurde mit dem Update runc 1.0.0-rc95 behoben.
Um die Sicherheitsanfälligkeit auszunutzen, muss der Angreifer die Möglichkeit haben, Container mit zusätzlichen Montagepunkten in der Konfiguration zu starten (zum Beispiel tritt das Problem in Kubernetes-Umgebungen auf, in denen Benutzer ihre Container starten können). Aufgrund des zeitlichen Fensters zwischen der Überprüfung und der Nutzung der Montagepunkte auf Partitionen, die mit anderen Containern gemeinsam genutzt werden, kann der Angreifer während des Starts des Containers einen Zeitangriff ausnutzen und das Verzeichnis, das beim Montieren im Container verwendet wird, durch einen symbolischen Link auf einen Bereich außerhalb des Wurzel-Dateisystems des Containers ersetzen.
Quelle: opennet.ru
