Haavatavus runc-is, mis võimaldab pääseda failisüsteemile väljaspool konteinerit

Runc, mis kasutatakse isoleeritud konteinerite käitamiseks Dockeris ja Kuberneteses, on tuvastatud haavatavus (CVE-2021-30465), mis võimaldab konteinerist pääseda host-ümbruse põhifailisüsteemi. Sümboolsete linkide manipuleerimise kaudu on võimalik luua näiliselt ohutu konteineri konfiguratsioon, mis viib välise failisüsteemi bind-monteerimise konteineri sisse. Probleem lahendatakse runc versioonis 1.0.0-rc95.

Haavatavuse ärakasutamiseks peab ründaja olema suuteline käitama konteineri konfiguratsioonis täiendavaid monteerimispunkte (nt probleem esineb Kubernetesel põhinevates keskkondades, kus kasutajad saavad oma konteinerid käivitada). Monteerimist punktide kontrollimise ja nende kasutamise vahel on olemas ajakenkus, mis jagatakse teiste konteineritega, ning ründaja saab konteineri käivitamise ajal seda kasutada, et asendada montaažis kasutatav kataloog sümboolse lingiga, mis viib väljaspool konteineri failisüsteemi juurt.

Allikas: opennet.ru