In CRI-O, der Runtime zur Verwaltung isolierter Container, wurde eine kritische Sicherheitsanfälligkeit (CVE-2022-0811) entdeckt, die eine Umgehung der Isolation ermöglicht und es erlaubt, eigenen Code auf der Host-Systemseite auszuführen. Wenn CRI-O anstelle von containerd und Docker verwendet wird, um Container zu starten, die unter der Kubernetes-Plattform laufen, kann ein Angreifer die Kontrolle über jeden Knoten im Kubernetes-Cluster erlangen. Für den Angriff sind ausreichende Berechtigungen erforderlich, um eigenen Container im Kubernetes-Cluster zu starten.
Die Sicherheitsanfälligkeit wird durch die Möglichkeit verursacht, den sysctl-Parameter des Kernels „kernel.core_pattern“ („/proc/sys/kernel/core_pattern“) zu ändern, auf den trotz seiner Zugehörigkeit zu den nicht sicheren änderbaren Parametern, die nur im Namensraum des aktuellen Containers gültig sind, kein Zugriffsschutz besteht. Mit diesem Parameter kann ein Benutzer aus dem Container heraus das Verhalten des Linux-Kerns hinsichtlich der Verarbeitung von Core-Dateien im Host-Umfeld ändern und beliebige Befehle mit Root-Rechten auf der Host-Seite ausführen, indem er einen Handler vom Typ „|/bin/sh -c ‘Befehle'“ angibt.
Das Problem tritt ab der Version CRI-O 1.19.0 auf und wurde in den Aktualisierungen 1.19.6, 1.20.7, 1.21.6, 1.22.3, 1.23.2 und 1.24.0 behoben. In den Distributionen zeigt sich das Problem in den Produkten Red Hat OpenShift Container Platform und openSUSE/SUSE, in deren Repositories das Paket cri-o vorhanden ist.
Quelle: opennet.ru
