Se ha encontrado una vulnerabilidad CVE-2024-21626 en el conjunto de herramientas para ejecutar contenedores aislados runc, utilizado en Docker y Kubernetes, que permite acceder al sistema de archivos del entorno host desde un contenedor aislado. Durante un ataque, un atacante puede sobrescribir algunos archivos ejecutables en el entorno host y lograr as\u00ed ejecutar su c\u00f3digo fuera del contenedor. En el runtime crun y youki, que utilizan runc, as\u00ed como en LXC, el problema no se presenta. La vulnerabilidad ha sido corregida en la versi\u00f3n runc 1.1.12. <\/p>\n
En el caso de utilizar herramientas como Docker o Kubernetes, un ataque puede llevarse a cabo mediante la preparaci\u00f3n de una imagen de contenedor especialmente dise\u00f1ada, despu\u00e9s de lo cual, una vez instalado y ejecutado, se puede acceder al sistema de archivos externo desde el contenedor. En el uso de Docker, existe la posibilidad de explotaci\u00f3n a trav\u00e9s de un Dockerfile espec\u00edficamente elaborado. La vulnerabilidad tambi\u00e9n puede ser explotada si se ejecutan procesos en el contenedor mediante el comando 'runc exec' al vincular el directorio de trabajo al espacio de nombres del entorno del host. <\/p>\n
La vulnerabilidad es causada por una fuga de descriptores de archivos internos. Antes de ejecutar c\u00f3digo dentro del contenedor en runc, se cierran todos los descriptores de archivos usando el flag O_CLOEXEC. Sin embargo, despu\u00e9s de la posterior ejecuci\u00f3n de la funci\u00f3n setcwd(), queda un descriptor de archivo abierto que apunta al directorio de trabajo y sigue siendo accesible despu\u00e9s de iniciar el contenedor. Se han propuesto varios escenarios b\u00e1sicos de ataque al entorno host utilizando el descriptor de archivo restante. <\/p>\n
Por ejemplo, un atacante puede especificar en la imagen del contenedor el par\u00e1metro process.cwd, que apunta a '\/proc\/self\/fd\/7\/', lo que llevar\u00e1 a vincular el directorio de trabajo al proceso pid1 en el contenedor, el cual se encuentra en el espacio de montaje del entorno del host. As\u00ed, en la imagen del contenedor se puede configurar el lanzamiento de '\/proc\/self\/fd\/7\/..\/..\/..\/..\/bin\/bash' y, mediante la ejecuci\u00f3n de un script shell, sobrescribir el contenido de '\/proc\/self\/exe', que hace referencia a la copia del host de \/bin\/bash. <\/p>\n
Otra variante de ataque permite que un atacante, confinado dentro del contenedor, obtenga acceso al directorio del entorno del host si se ejecutan procesos privilegiados en el contenedor mediante el comando 'runc exec' con la opci\u00f3n '--cwd'. El atacante puede sustituir la ruta del proceso en ejecuci\u00f3n por un enlace simb\u00f3lico que apunte a '\/proc\/self\/fd\/7\/' y lograr abrir '\/proc\/$exec_pid\/cwd' para acceder al sistema de archivos en el lado del host. El atacante tambi\u00e9n puede lograr sobrescribir archivos ejecutables en el entorno del host, organizando la ejecuci\u00f3n de un archivo ejecutable desde el entorno del host ('\/proc\/self\/fd\/7\/..\/..\/..\/..\/bin\/bash') seguido de la sobrescritura del archivo '\/proc\/$pid\/exe', que hace referencia al archivo en ejecuci\u00f3n. <\/p>\n
Adem\u00e1s, se han identificado cinco vulnerabilidades adicionales en los componentes de la herramienta Docker: <\/p>\n