In CRI-O, dem Runtime für die Verwaltung isolierter Container, wurde eine kritische Sicherheitsanfälligkeit (CVE-2022-0811) festgestellt, die die Isolation umgehen und eigenen Code auf der Host-Systemseite ausführen kann. Wenn CRI-O anstelle von containerd und Docker zur Bereitstellung von Containern verwendet wird, die unter der Kubernetes-Plattform ausgeführt werden, kann ein Angreifer die Kontrolle über jeden Knoten im Kubernetes-Cluster übernehmen. Für einen Angriff sind lediglich Berechtigungen zum Starten des eigenen Containers im Kubernetes-Cluster erforderlich.
Die Schwachstelle ergibt sich aus der Möglichkeit, den sysctl-Kernelparameter „kernel.core_pattern“ („/proc/sys/kernel/core_pattern“) zu ändern, auf den kein Zugriffsschutz besteht, obwohl er nicht zu den sicheren veränderbaren Parametern gehört, die nur im Namensraum des aktuellen Containers gelten. Mit diesem Parameter kann ein Benutzer aus dem Container das Verhalten des Linux-Kernels hinsichtlich der Verarbeitung von Core-Dateien auf der Host-Umgebung ändern und einen beliebigen Befehl mit Root-Rechten auf der Host-Seite ausführen, indem er einen Handler vom Typ „|/bin/sh -c ‘Befehle'“ angibt.
Das Problem tritt seit der Version CRI-O 1.19.0 auf und wurde in den Updates 1.19.6, 1.20.7, 1.21.6, 1.22.3, 1.23.2 und 1.24.0 behoben. Das Problem tritt in den Distributionen der Produkte Red Hat OpenShift Container Platform und openSUSE/SUSE auf, in deren Repositories das Paket cri-o verfügbar ist.
Quelle: opennet.ru
