{"id":103483,"date":"2022-03-06T15:36:45","date_gmt":"2022-03-06T13:36:47","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera"},"modified":"2022-03-06T15:36:45","modified_gmt":"2022-03-06T13:36:47","slug":"uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera","title":{"rendered":"Vulnerabilidad en cgroups v1 que permite salir de un contenedor aislado","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se han revelado detalles sobre la vulnerabilidad (CVE-2022-0492) en la implementaci\u00f3n del mecanismo de restricci\u00f3n de recursos cgroups v1 en el n\u00facleo de Linux, que puede ser utilizada para escapar de contenedores aislados. El problema se presenta a partir del n\u00facleo de Linux 2.6.24 y ha sido corregido en las versiones del n\u00facleo 5.16.12, 5.15.26, 5.10.97, 5.4.177, 4.19.229, 4.14.266 y 4.9.301. Se puede seguir la publicaci\u00f3n de las actualizaciones de los paquetes en las distribuciones en estas p\u00e1ginas: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux. <\/p>\n
La vulnerabilidad se debe a un error l\u00f3gico en el manejador de archivos release_agent, que provocaba la omisi\u00f3n de las verificaciones necesarias al iniciar el manejador con un conjunto completo de privilegios. El archivo release_agent se utiliza para determinar el programa que ejecuta el n\u00facleo al finalizar un proceso en cgroup. Este programa se ejecuta con derechos de root y con todas las \u00abcapabilities\u00bb en el espacio de nombres ra\u00edz. Se supon\u00eda que solo el administrador ten\u00eda acceso para configurar release_agent, pero en realidad, las verificaciones se limitaban a otorgar acceso al usuario root, lo que no exclu\u00eda el cambio de configuraci\u00f3n desde un contenedor o por un usuario root sin derechos de administrador (CAP_SYS_ADMIN). <\/p>\n
Antes, esta caracter\u00edstica no se habr\u00eda considerado una vulnerabilidad, pero la situaci\u00f3n ha cambiado con la aparici\u00f3n de espacios de nombres de identificadores de usuario (user namespaces), que permiten crear en contenedores usuarios root separados que no se cruzan con el usuario root del entorno principal. Por lo tanto, para llevar a cabo un ataque, solo es necesario en un contenedor que tiene su propio usuario root en un espacio de identificadores de usuario separado, conectar su propio manejador release_agent, que despu\u00e9s de finalizar el proceso se ejecutar\u00e1 con plenos privilegios en el entorno principal. <\/p>\n
Por defecto, cgroupfs se monta en el contenedor en modo de solo lectura, pero no hay problemas en volver a montar este pseudofs en modo de escritura si se tienen privilegios CAP_SYS_ADMIN o mediante la creaci\u00f3n usando la llamada al sistema unshare de un contenedor anidado con un espacio de nombres de usuario separado, en el cual los derechos CAP_SYS_ADMIN est\u00e1n disponibles para el contenedor creado.
<\/center> <\/p>\n
Un ataque puede llevarse a cabo con privilegios de root en un contenedor aislado o al ejecutar un contenedor sin la opci\u00f3n no_new_privs, que proh\u00edbe obtener privilegios adicionales. El sistema debe tener habilitado el soporte para espacios de nombres de usuario (que est\u00e1 habilitado de forma predeterminada en Ubuntu y Fedora, pero no est\u00e1 activado en Debian y RHEL) y debe haber acceso al cgroup v1 ra\u00edz (por ejemplo, Docker ejecuta contenedores en el cgroup RDMA ra\u00edz). El ataque tambi\u00e9n es posible con privilegios CAP_SYS_ADMIN, en cuyo caso no se requiere el soporte de espacios de nombres de usuario ni acceso a la jerarqu\u00eda cgroup v1 ra\u00edz. <\/p>\n
Adem\u00e1s de salir del contenedor aislado, la vulnerabilidad tambi\u00e9n permite a los procesos iniciados por el usuario root sin \u00abcapabilities\u00bb o a cualquier usuario con derechos CAP_DAC_OVERRIDE (para el ataque se necesita acceso al archivo \/sys\/fs\/cgroup\/*\/release_agent, que pertenece a root), obtener acceso a todas las \u00abcapabilities\u00bb del sistema. <\/p>\n
![\"Vulnerabilidad](\"\/wp-content\/uploads\/2022\/03\/710b37582c444cc4be7d6ae4695c8afe.jpg\")
<\/center> <\/p>\n