Haavatavus cgroups v1, mis võimaldab väljuda isoleeritud konteinerist

Avastatud on haavatavuse (CVE-2022-0492) üksikasjad, mis puudutab Linuxi tuuma cgroups v1 ressursipiirangumehhanismi rakendamist. See haavatavus võib võimaldada isoleeritud konteineritest väljuda. Probleem ilmneb alates Linuxi kernest 2.6.24 ning on kõrvaldatud kerneliversioonides 5.16.12, 5.15.26, 5.10.97, 5.4.177, 4.19.229, 4.14.266 ja 4.9.301. Pakettide värskenduste väljaandmist saab jälgida nendel lehtedel: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux.

Haavatavus on põhjustatud loogilisest veast release_agent failide töötlemises, mille tõttu ei teostatud nõutavaid kontrolle, kui käivitati töötleja täielike volitustega. Faili release_agent kasutatakse programmi määramiseks, mida tuum käivitab protsessi lõpetamisel cgrupis. See programm käivitatakse root'i õigustes ja kõiki 'capabilities' juurruumis. Eeldati, et release_agent seadistusele pääseb ligi ainult administraator, kuid tegelikkuses piirdusid kontrollid root'i kasutaja juurdepääsu võimaldamisega, mis ei välistanud seadistuse muutmist konteinerist või root'i kasutajalt ilma administraatori õigusteta (CAP_SYS_ADMIN).

Varem ei oleks sarnast omadust peetud haavatavuseks, kuid olukord muutus koos kasutaja nimede (user namespaces) tekkega, mis võimaldavad konteinerites luua eraldi root kasutajaid, mis ei kattuks põhikeskkonna root kasutajaga. Seega piisab, kui konteineris, millel on oma root kasutaja eraldi kasutaja nimede ruumis, ühendada oma release_agent töötleja, mis käivitatakse pärast protsessi lõpetamist põhikeskkonna täielike õigustega.

Vaikesätetena on cgroupfs konteineris montaažirežiimis ainult lugemiseks, kuid ei esine probleeme seda pseudosüsteemi kirjutusrežiimisse remontimisel, kui on olemas õigused CAP_SYS_ADMIN või luues süsteemikõnede unshare abil sissepandud konteineri koos eraldi kasutaja nimede ruumiga, kus loodud konteinerile on saadaval õigused CAP_SYS_ADMIN.

Rünnaku saab teha, kui on olemas root-kasutaja õigused isoleeritud konteineris või kui konteinerit käivitatakse ilma no_new_privs liputa, mis keelab täiendavate privileegide saamise. Süsteemis peab olema sisse lülitatud kasutaja nimede ruumide tugi (mis on vaikimisi lubatud Ubuntu ja Fedora puhul, kuid mitte aktiveeritud Debianis ja RHEL-is) ning juurdepääs juurkergu cgroup v1-le (näiteks Docker käivitab konteinerid juurse RDMA cgroupis). Rünnak on samuti võimalik, kui on olemas CAP_SYS_ADMIN õigused; sel juhul ei ole kasutaja nimede ruumide tugi ja juurdepääs juhierarhiale cgroup v1 vajalik.

Lisaks isoleeritud konteinerist väljumisele võimaldab haavatavus ka protsessidel, mida käivitab root-kasutaja, ilma "capabilities"-ta, või mis tahes kasutajal CAP_DAC_OVERRIDE õigustega (rünnaku teostamiseks on vajalik juurdepääs failile /sys/fs/cgroup/*/release_agent, mis kuulub root-kasutajale), saada juurdepääs kõigile süsteemi "capabilities"-dele.

On märgatud, et haavatavust ei saa ära kasutada, kui kasutatakse Seccomp, AppArmor või SELinux kaitsemehhanisme konteinerite täiendavaks isoleerimiseks, sest Seccomp blokeerib süsteemitõukele unshare() juurdepääsu, ja AppArmor ja SELinux ei luba cgroupfs-i kirjutamismoodis monteerida.

Allikas: opennet.ru