Vulnerabiliteet Dockeris, mis võimaldab konteinerist välja pääseda.

Isolatsiooni Linux konteinerite Docker haldustööriistad tuvastatud haavatavus (CVE-2018-15664), mis teatud oludes võimaldab pääseda hosti keskkonda konteineri seest, kui on võimalik süsteemis käivitada oma kujundeid või pääseda täitmisele kuuluvale konteinerile. Probleem esineb kõigis Docker'i versioonides ja jääb lahendamata (pakkumine on olemas, kuid ei ole veel vastu võetud, patš, mis peatab konteineri töö ajaks, kui teostatakse operatsioone FS-iga).

Turvaaugu tõttu on võimalik kopeerida faile konteinerist hosti süsteemi suvalisse kohta, kui käitatakse käsku „docker cp”. Failide kopeerimine toimub root õigustes, mis võimaldab lugeda või kirjutada suvalisi faile hosti keskkonnas, mis on piisav hosti süsteemi kontrollimiseks (näiteks on võimalik kirjutada /etc/shadow).

Rünnakut saab teostada ainult hetkel, kui administraator käivitab käsu „docker cp” failide konteinerisse kopeerimiseks või sealt. Seega peab ründaja kuidagi veenma Docker'i administraatorit selle operatsiooni tegemise nõudmises ja ette nägema kopeerimise teed. Teiselt poolt võib rünnakut teostada näiteks pilveteenuste poolt, mis pakuvad vahendeid konfiguratsioonifailide kopeerimiseks konteinerisse, kasutades käsku „docker cp”.

Probleem on põhjustatud puudulikkusest funktsiooni FollowSymlinkInScope, mis arvutab absoluutset teed põhifailisüsteemis, lähtudes suhtelisest teest, mis arvestab konteineri asukohta. Käsu „docker cp” täitmisel tekib lühiajaline võistlusolukord, kus tee on juba kontrollitud, kuid operatsiooni ei ole veel teostatud. Kuna kopeerimine toimub hosti keskkonna põhifailisüsteemi kontekstis, on antud hetkel võimalik link muuta teiseks teeks ja algatada andmete kopeerimine failisüsteemi suvalisse kohta, mis ei pea olema konteineris.

Kuna võistlusolukorra ajavahemik on väga piiratud, siis valmisolekus eksplooiti prototüüp Kopeerimise operatsioonide täitmisel õnnestus konteinerist rünnakuid ellu viia vähem kui 1% juhtudest, muutes pidevalt sümboolset linki kopeerimise operatsiooniks kasutatavas teel (rünnak õnnestus pärast umbes 10-sekundilist katsetust, kus pidevalt prooviti faili kopeerida käsuga „docker cp“).

Konteineri kopeerimise operatsiooni käigus on võimalik saavutada korduv rünnak, mille abil saab failid host-süsteemis üle kirjutada vaid mõne iteratsiooni järel. Rünnaku võimalus tuleneb sellest, et konteinerisse kopeerimisel rakendatakse kontsepti „chrootarchive“, mille kohaselt archiv.go protsess ei ekstrakteeri arhiivi konteineri chroot juurest, vaid sihttee vanema katalooge chroot'ist, mida kontrollib ründaja, andes ründajale võimaluse, kuna konteiner jääb samal ajal töötama (chroot'i kasutatakse rikke seisundi ärakasutamise märgina).

Allikas: opennet.ru