Haavatavus runcis, mis võimaldab pääseda välja Dockerist ja Kubernetesest

Isolatsioonikonteinerite käitamiseks mõeldud runc tööriistakomplektis, mida kasutatakse Dockeris ja Kuberneteses, leiti haavatavus CVE-2024-21626, mis võimaldab pääseda hostkeskkonna failisüsteemi isolatsiooni konteinerist. Rünnaku käigus võib ründaja kirjutada üle mõned käideldavad failid hostkeskkonnas ja seeläbi saavutada oma koodi käivitamise konteinerist väljaspool. Runci kasutavad runtime'id crun ja youki, samuti LXC, ei esita probleemi. Haavatavus on parandatud runci väljaandes 1.1.12.

Docker või Kubernetes tööriistade kasutamise korral võib rünnaku teostada, valmistades ette spetsiaalselt kujundatud konteineri pildi, mille pärast installimist ja käivitamist saab konteinerist pöörduda välise failisüsteemi poole. Dockeri kasutamisel on võimalus ekspluateerida spetsiaalselt kujundatud Dockerfile'i kaudu. Haavatavust saab samuti ekspluateerida, kui konteineris käivitatakse protsesse käsuga „runc exec”, sidudes töökatalooge hostkeskkonna nimede ruumi.

Haavatavus tuleneb sisemiste failideskрипторite lekkest. Enne koodi käivitamist konteineris runcis suletakse kõik failideskriptorid, kasutades masti O_CLOEXEC. Siiski jääb pärast setcwd() funktsiooni täitmist avatud failideskriptor, mis osutab töökataloogile ja jääb kättesaadavaks pärast konteineri käivitamist. On pakutud mitmeid põhisisuliniseerimisseenariume hostkeskkonna suhtes, kasutades allesjäänud failideskriptorit.

Näiteks võib ründaja määrata konteineri pildis parameetri process.cwd, mis osutab „/proc/self/fd/7/”, mis toob kaasa töötava katalooge sidumise konteineri pid1 protsessiga, mis asub hostkeskkonna mount-ruumis. Seeläbi saab konteineri pildis seadistada käivitama „/proc/self/fd/7/../../../bin/bash” ning shell-skripti täitmise kaudu on võimalik kirjutada üle „/proc/self/exe” sisu, mis osutab hosti koopiale /bin/bash.

Teine rünnaku variant võimaldab siseruumis olevatel kurjategijatel pääseda hostikeskkonna katalooge, kui antud konteineris käivitatakse privileegidega protsesse käsu „runc exec“ abil valikuga „—cwd“. Ründaja saab käivitatava protsessi tee asendada sümboolsete linkidega, viidates „/proc/self/fd/7/“ ja saavutada „/proc/$exec_pid/cwd“ avamise, et pääseda juurde hostipoolsele failisüsteemile. Ründaja võib samuti saavutada käivitatavate failide kirjutamise hostikeskkonna kaudu, käivitades käivitatava faili hostikeskkonnast („/proc/self/fd/7/../../../bin/bash“), millele järgneb faili „/proc/$pid/exe“ kirjutamine, mis viitab käivitatud failile.

Lisaks on Docker'i tööriistakomponentides tuvastatud veel viis haavatavust:

• CVE-2024-23651 — võistlusolukord BuildKiti paketis, mida kasutatakse Dockeris lähtekoodi kompileerimise artefaktide loomiseks. Haavatavus tuleneb paralleelselt käivitatavates ehitusetappides sama üldise monteerimispunkti kasutamisest koos vahefailide („—mount=type=cache,source=“) kõigi juurdepääsudega, mis võimaldab BuildKiti töötlemisel spetsiaalset Dockerfile'i kaudu juurdepääsu hostikeskkonna failidele. Haavatavus on kõrvaldatud BuildKitis 0.12.5.
• CVE-2024-23652 — tühjade failide kustutamise viga, mis on loodud monteerimispunktide jaoks „—mount” valikuga, võimaldab kustutada faili konteinerist väljaspool töötlemise ajal spetsiaalselt kujundatud Dockerfile'i. Haavatavus on kõrvaldatud BuildKitis 0.12.5.
• CVE-2024-23653 — API rakendamise viga BuildKitis võimaldab konteinerit käivitada kõrgendatud õigustega, hoolimata security.insecure seadistuste seisundist. Haavatavus on kõrvaldatud BuildKitis 0.12.5.
• CVE-2024-23650 — pahatahtlik klient või BuildKiti frontend võib põhjustada BuildKit'i taustprotsessi kokkuvarisemise. Haavatavus on kõrvaldatud BuildKitis 0.12.5.
• CVE-2024-24557 — rünnaku võimalus Moby kasti kaaneseisundisse, mis on konteinerite isoleerimise spetsialiseeritud süsteemide koostamise komponent. Spetsiaalselt kujundatud konteineripildi töötlemisel on võimalik salvestada andmeid mällu, mida saab kasutada järgmistel ehitusetappidel. Haavatavus on kõrvaldatud Moby 25.0.2 ja 24.0.9.

Allikas: opennet.ru