CRI-O haavatavus, mis võimaldab saada root-juurdepääsu host-keskkonnale

CRI-O-s, mis on runtime isoleeritud konteinerite haldamiseks, tuvastati kriitiline haavatavus (CVE-2022-0811), mis võimaldab ületada isoleerituse ja käivitada oma koodi host-süsteemi pool. Kui kasutatakse CRI-O-d containerd ja Docker'i asemel konteinerite käivitamiseks, mis töötavad Kubernetes platvormi all, saab ründaja kontrollida mis tahes sõlme Kubernetes klastris. Rünnaku teostamiseks on piisavalt õigusi oma konteineri käivitamiseks Kubernetes klastris.

Haavatavus on põhjustatud võimalusest muuta süsctl-juhtparameetrit „kernel.core_pattern“ („/proc/sys/kernel/core_pattern“), millele juurdepääs ei olnud blokeeritud, kuigi see ei kuulu mugandamiseks ohutuks. Selle parameetri abil saab konteineri kasutaja muuta Linuxi tuuma käitumist core-failide töötlemisel host-keskkonna poolel ja korraldada suvalise käsu käivitamise root-õigustega hostil, määrates töötleja tüübiks „|/bin/sh -c 'käsklused'“.

Probleem ilmnes alates CRI-O versioonist 1.19.0 ja on kõrvaldatud uuendustes 1.19.6, 1.20.7, 1.21.6, 1.22.3, 1.23.2 ja 1.24.0. Jaotustes ilmnes probleem Red Hat OpenShift Container Platform ja openSUSE/SUSE toodetes, mille repositooriates on olemas paketid cri-o.

Allikas: opennet.ru