runc-i haavatavus, mis võimaldab pääseda välja Docker ja Kubernetes konteineritest

Runc'i tööriistakomplektis, mida kasutatakse isoleeritud konteinerite käitamiseks Dockeris ja Kuberneteses, leiti haavatavus CVE-2024-21626, mis võimaldab pääseda juurde host-ökosüsteemi failisüsteemile isoleeritud konteinerist. Rünnaku käigus saab ründaja üle kirjutada mõned käivitatavad failid host-ökosüsteemis ja seeläbi saavutada oma koodi täitmine konteinerist väljaspool. Runci, cruni ja youki tööfailide käideldamisel, samuti LXC-s, probleemi ei esine. Haavatavus on kõrvaldatud runc'i versioonis 1.1.12.

Kui kasutatakse tööriistu Docker või Kubernetes, võib rünnak toimuda spetsiaalselt kujundatud konteineri pildi ettevalmistamise kaudu, mille paigaldamisel ja käivitamisel on võimalik konteinerist välisele FS-ile juurde pääseda. Dockerit kasutades on võimalik ära kasutada spetsiaalselt koostatud Dockerfile'i. Haavatavust saab kasutada ka juhul, kui konteineris käivitatakse protsesse käsuga „runc exec”, sidudes töökausta hosti keskkonna nimede ruumiga.

Haavatavus on põhjustatud sise-failide deskriptorite lekkimisest. Koodi käivitamiseks konteineri sees runc'is suletakse kõik failide deskriptorid O_CLOEXEC lipu abil. Sellegipoolest jääb pärast funktsiooni setcwd() käivitamist avatuks failide deskriptor, mis viitab töökataloogile ning jääb kergesti kättesaadavaks pärast konteineri käivitamist. On ettepanekuid mitmete põhirünnakute stsenaariumide kohta host-ökosüsteemi, kasutades avatud failide deskriptorit.

Näiteks võib ründaja konteineripildis sätestada parameetri process.cwd, mis osutab „/proc/self/fd/7/”, mis tulemuseks viib töökausta sidumise konteineris oleva protsessi pid1-ga, mis asub host-keskkonna montaažiruumi. Seega on konteineripildis võimalik seadistada käivitamine „/proc/self/fd/7/../../../bin/bash” ja shell-skripti käivitamise kaudu kirjutada üle „/proc/self/exe”, mis osutab hosti koopiale /bin/bash.

Teine rünnaku variant võimaldab kurjategijal, kes on konteineris piiratud, pääseda juurde host-keskkonna kataloogile, kui antud konteineris käivitatakse privileeritud protsesse käsuga „runc exec” koos valikuga „—cwd”. Ründaja võib muuta käivitatava protsessi teed sümboolseks lingiks, mis osutab „/proc/self/fd/7/” ja saavutada „/proc/$exec_pid/cwd” avamise, et pääseda juurde hosti FS-ile. Ründaja saab ka saavutada käivitatavate failide ülekirjutamise host-keskkonna poole, korraldades käivitatava faili käivitamise host-keskkonnast („/proc/self/fd/7/../../../bin/bash”) ja järgnevaga faili „/proc/$pid/exe” üle kirjutamise, mis osutab käivitatavale failile.

Lisaks on Docker'i tööriistade komponentides leitud veel viis haavatavust:

• CVE-2024-23651 — võidusõiduring BuildKiti paketis, mida kasutatakse Dockeris lähtekoodi ehitusartefaktideks muutmiseks. Haavatavus on põhjustatud paralleelselt käivitatavates ehitusetappides ühe ühise monteerimispunktiga koos vahemälu („—mount=type=cache,source=”), mis võimaldab BuildKiti töötlemisel spetsiaalselt kujundatud Dockerfile'i kaudu saada ehitus konteinerist ligipääsu failidele host-keskkonnas. Haavatavus on kõrvaldatud BuildKitis 0.12.5.
• CVE-2024-23652 — viga tühjade failide eemaldamisel, mis on loodud monteerimispunkti jaoks koos valikuga „—mount”, võimaldab eemaldada faili konteinerist välja töötlemisel spetsiaalselt kujundatud Dockerfile'i. Haavatavus on kõrvaldatud BuildKitis 0.12.5.
• CVE-2024-23653 — API rakendamise viga BuildKitis võimaldab saavutada konteineri käivitamist suurenenud privileegidega, vaatamata security.insecure seadistusele. Haavatavus on kõrvaldatud BuildKitis 0.12.5.
• CVE-2024-23650 — pahatahtlik klient või BuildKiti front-end võib põhjustada BuildKiti taustaprotsessi kokkuvarisemise. Haavatavus on kõrvaldatud BuildKitis 0.12.5.
• CVE-2024-24557 — võimalus Moby kassi rünnata, konteinerite isoleerimise spetsialiseeritud süsteemide koostamise komponendi kaudu. Spetsiaalselt kujundatud konteineripildi töötlemisel on võimalik salvestada vahemälusse andmeid, mida saab kasutada järgmistel ehitusetappidel. Haavatavus on kõrvaldatud Moby 25.0.2 ja 24.0.9.

Allikas: opennet.ru