{"id":113376,"date":"2024-02-03T13:41:10","date_gmt":"2024-02-03T11:41:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-runc-pozvolyayushhaya-vybratsya-iz-kontejnerov-docker-i-kubernetes"},"modified":"2024-02-03T13:41:10","modified_gmt":"2024-02-03T11:41:10","slug":"uyazvimost-v-runc-pozvolyayushhaya-vybratsya-iz-kontejnerov-docker-i-kubernetes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/uyazvimost-v-runc-pozvolyayushhaya-vybratsya-iz-kontejnerov-docker-i-kubernetes","title":{"rendered":"Haavatavus runcis, mis v\u00f5imaldab p\u00e4\u00e4seda v\u00e4lja Dockerist ja Kubernetesest","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Isolatsioonikonteinerite k\u00e4itamiseks m\u00f5eldud runc t\u00f6\u00f6riistakomplektis, mida kasutatakse Dockeris ja Kuberneteses, leiti haavatavus CVE-2024-21626, mis v\u00f5imaldab p\u00e4\u00e4seda hostkeskkonna failis\u00fcsteemi isolatsiooni konteinerist. R\u00fcnnaku k\u00e4igus v\u00f5ib r\u00fcndaja kirjutada \u00fcle m\u00f5ned k\u00e4ideldavad failid hostkeskkonnas ja seel\u00e4bi saavutada oma koodi k\u00e4ivitamise konteinerist v\u00e4ljaspool. Runci kasutavad runtime'id crun ja youki, samuti LXC, ei esita probleemi. Haavatavus on parandatud runci v\u00e4ljaandes 1.1.12. <\/p>\n

Docker'i v\u00f5i Kubernetes'e t\u00f6\u00f6riistade kasutamise korral v\u00f5ib r\u00fcnnak toimuda spetsiaalselt kujundatud konteineri pildi ettevalmistamise kaudu. P\u00e4rast selle installimist ja k\u00e4ivitamist on konteinerist v\u00f5imalik p\u00e4\u00e4seda juurde v\u00e4lisele failis\u00fcsteemile. Docker'i kasutades on \u00fchtlasi v\u00f5imalus \u00e4ra kasutada spetsiaalselt koostatud Dockerfile'i. Haavatavust saab t\u00f5husalt kasutada ka juhul, kui konteineris k\u00e4ivitatakse protsesse k\u00e4suga «runc exec», \u00fchendades t\u00f6\u00f6kausta hosti keskkonna nimi ruumiga. <\/p>\n

Haavatavus tuleneb sisemiste failidesk\u0440\u0438\u043f\u0442\u043e\u0440ite lekkest. Enne koodi k\u00e4ivitamist konteineris runcis suletakse k\u00f5ik failideskriptorid, kasutades masti O_CLOEXEC. Siiski j\u00e4\u00e4b p\u00e4rast setcwd() funktsiooni t\u00e4itmist avatud failideskriptor, mis osutab t\u00f6\u00f6kataloogile ja j\u00e4\u00e4b k\u00e4ttesaadavaks p\u00e4rast konteineri k\u00e4ivitamist. On pakutud mitmeid p\u00f5hisisuliniseerimisseenariume hostkeskkonna suhtes, kasutades allesj\u00e4\u00e4nud failideskriptorit. <\/p>\n

N\u00e4iteks v\u00f5ib r\u00fcndaja m\u00e4\u00e4rata konteineri pildis parameetri process.cwd, mis viitab « \/proc\/self\/fd\/7\/ », mis toob kaasa t\u00f6\u00f6kausta sidumise protsessile pid1 konteineris, mis asub host keskkonna mount ruumis. Seega on konteineri pildis v\u00f5imalik seadistada k\u00e4ivitus « \/proc\/self\/fd\/7\/..\/..\/..\/..\/bin\/bash » ning shell-skripti k\u00e4ivitamise kaudu \u00fcle kirjutada fail « \/proc\/self\/exe », mis viitab hosti versioonile \/bin\/bash. <\/p>\n

Teine r\u00fcnnaku variant v\u00f5imaldab sisemise konteineri piiratud h\u00e4kkeril p\u00e4\u00e4seda juurde hosti keskkonna kataloogile, kui antud konteineris k\u00e4ivitatakse privileegiga protsessid k\u00e4su «runc exec» koos valikuga «--cwd». R\u00fcndaja v\u00f5ib muuta k\u00e4ivitatava protsessi teed s\u00fcmboolsesse linki, mis viitab «\/proc\/self\/fd\/7\/», saavutades «\/proc\/$exec_pid\/cwd» avamise, et p\u00e4\u00e4seda juurde failis\u00fcsteemile hostis. R\u00fcndaja v\u00f5ib samuti saavutada k\u00e4ivitatavate failide \u00fcle kirjutamise hosti keskkonna jaoks, organiseerides k\u00e4ivitatava faili k\u00e4ivitamise hosti keskkonnast («\/proc\/self\/fd\/7\/..\/..\/..\/..\/bin\/bash»), millele j\u00e4rgneb faili «\/proc\/$pid\/exe» \u00fcle kirjutamine, mis viitab k\u00e4ivitatud failile. <\/p>\n

Lisaks on Docker'i t\u00f6\u00f6riistakomponentides tuvastatud veel viis haavatavust: <\/p>\n