Haavatavus cgroups v1-s, mis võimaldab põgeneda isoleeritud konteinerist

Avalikustatud on kernelis oleva cgroups v1 ressursipiirangu mehhanismi implementatsiooni haavatavuse (CVE-2022-0492) üksikasjad. Linux, mida saab kasutada isoleeritud konteineritest pääsemiseks. Probleem ilmneb alates kernelist. Linux 2.6.24 ja parandatud kerneli versioonides 5.16.12, 5.15.26, 5.10.97, 5.4.177, 4.19.229, 4.14.266 ja 4.9.301. Pakettide värskenduste avaldamist distributsioonides saate jälgida järgmistel lehtedel: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux.

Haavatavuse põhjustab loogikaviga failikäitlejas release_agent, mis ei teosta käitleja täielike õigustega käivitamisel korralikke kontrolle. Faili release_agent kasutatakse programmi määratlemiseks, mida kernel käivitab cgroupi protsessi lõppemisel. See programm käivitatakse juurkasutajaõigustega ja kõigi juurkasutaja nimeruumi võimalustega. Säte release_agent oli mõeldud olema ligipääsetav ainult administraatorile, kuid tegelikkuses piirdusid kontrollid juurdepääsu andmisega juurkasutajale, mis ei takistanud sätte muutmist konteineri seest või mitteadministraatoriõigustega juurkasutaja (CAP_SYS_ADMIN) poolt.

Varem poleks sellist funktsiooni haavatavusena peetud, kuid olukord muutus kasutajanimeruumide tulekuga, mis võimaldavad luua eraldi juurkasutajaid konteinerites, mis ei kattu põhikeskkonna juurkasutajaga. Seega piisab rünnakuks release_agent käitleja ühendamisest konteineris, millel on oma juurkasutaja eraldi kasutajanimeruumis, mis pärast protsessi lõppu käivitatakse põhikeskkonna täielike õigustega.

Vaikimisi paigaldatakse cgroupfs konteinerisse kirjutuskaitstud režiimis, kuid selle pseudo-fs-i uuesti paigaldamisel kirjutamisrežiimis pole probleeme, kui teil on CAP_SYS_ADMIN õigused või kui loote pesastatud konteineri eraldi kasutajanimeruumiga, kasutades süsteemikutse unshare, kus loodud konteineri jaoks on CAP_SYS_ADMIN õigused saadaval.

Rünnakut saab sooritada juurõigustega isoleeritud konteineris või konteineri käivitamisel ilma liputa no_new_privs, mis takistab täiendavate õiguste andmist. Kasutajanimeruumid peavad süsteemis olema lubatud (vaikimisi lubatud Ubuntu ja Fedora, aga mitte aktiveeritud Debian ja RHEL) ning juurdepääs juur-cgroup v1-le (näiteks Docker käitab konteinereid juur-RDMA cgroup'is). Rünnak on võimalik ka CAP_SYS_ADMIN õigustega, sel juhul pole kasutajanimeruumi tugi ja juurdepääs juur-cgroup v1 hierarhiale vajalik.

Lisaks isoleeritud konteinerist pääsemisele võimaldab haavatavus ka protsessidel, mille on käivitanud root ilma vastavate võimalusteta kasutaja või mis tahes kasutaja, kellel on CAP_DAC_OVERRIDE õigused (rünnak nõuab juurdepääsu failile /sys/fs/cgroup/*/release_agent, mis kuulub root'ile), pääseda ligi kõigile süsteemi võimalustele.

Märgitakse, et seda haavatavust ei saa ära kasutada Seccompi, AppArmori või SE kaitsemehhanismide kasutamisel.Linux konteinerite täiendavaks isoleerimiseks, kuna Seccomp blokeerib unshare() süsteemikõne ning AppArmor ja SELinux Ära luba cgroupfs-i paigaldamist kirjutamisrežiimis.

Allikas: opennet.ru