{"id":113376,"date":"2024-02-03T13:41:10","date_gmt":"2024-02-03T11:41:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-runc-pozvolyayushhaya-vybratsya-iz-kontejnerov-docker-i-kubernetes"},"modified":"2024-02-03T13:41:10","modified_gmt":"2024-02-03T11:41:10","slug":"uyazvimost-v-runc-pozvolyayushhaya-vybratsya-iz-kontejnerov-docker-i-kubernetes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/uyazvimost-v-runc-pozvolyayushhaya-vybratsya-iz-kontejnerov-docker-i-kubernetes","title":{"rendered":"runc-i haavatavus, mis v\u00f5imaldab p\u00e4\u00e4seda v\u00e4lja Docker ja Kubernetes konteineritest","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Runc'i t\u00f6\u00f6riistakomplektis, mida kasutatakse isoleeritud konteinerite k\u00e4itamiseks Dockeris ja Kuberneteses, leiti haavatavus CVE-2024-21626, mis v\u00f5imaldab p\u00e4\u00e4seda juurde host-\u00f6kos\u00fcsteemi failis\u00fcsteemile isoleeritud konteinerist. R\u00fcnnaku k\u00e4igus saab r\u00fcndaja \u00fcle kirjutada m\u00f5ned k\u00e4ivitatavad failid host-\u00f6kos\u00fcsteemis ja seel\u00e4bi saavutada oma koodi t\u00e4itmine konteinerist v\u00e4ljaspool. Runci, cruni ja youki t\u00f6\u00f6failide k\u00e4ideldamisel, samuti LXC-s, probleemi ei esine. Haavatavus on k\u00f5rvaldatud runc'i versioonis 1.1.12. <\/p>\n

Docker'i v\u00f5i Kubernetes'e t\u00f6\u00f6riistade kasutamisel saab r\u00fcnnaku teostada spetsiaalselt kujundatud konteineripildi kaudu, mille seadistamine ja k\u00e4itamine v\u00f5imaldavad konteinerist p\u00e4\u00e4seda v\u00e4lisele failis\u00fcsteemile. Docker'i kasutamisel on v\u00f5imalus r\u00fcnnata spetsiaalselt kujundatud Dockerfile'i kaudu. Haavatavust saab \u00e4ra kasutada ka juhul, kui konteineris k\u00e4ivitatakse protsess runci k\u00e4suga «runc exec» host-\u00f6kos\u00fcsteemi nimespetsiifiliste t\u00f6\u00f6kataloogide sidumisega. <\/p>\n

Haavatavus on p\u00f5hjustatud sise-failide deskriptorite lekkimisest. Koodi k\u00e4ivitamiseks konteineri sees runc'is suletakse k\u00f5ik failide deskriptorid O_CLOEXEC lipu abil. Sellegipoolest j\u00e4\u00e4b p\u00e4rast funktsiooni setcwd() k\u00e4ivitamist avatuks failide deskriptor, mis viitab t\u00f6\u00f6kataloogile ning j\u00e4\u00e4b kergesti k\u00e4ttesaadavaks p\u00e4rast konteineri k\u00e4ivitamist. On ettepanekuid mitmete p\u00f5hir\u00fcnnakute stsenaariumide kohta host-\u00f6kos\u00fcsteemi, kasutades avatud failide deskriptorit. <\/p>\n

N\u00e4iteks v\u00f5ib r\u00fcndaja konteineripildis m\u00e4\u00e4rata parameetri process.cwd, mis viitab «\/proc\/self\/fd\/7\/», mis toob kaasa protsessi pid1 konteineris seondumise t\u00f6\u00f6katalooge, mis asub host-\u00f6kos\u00fcsteemi mountimisruumis. Seega saab konteineripildis seadistada «\/proc\/self\/fd\/7\/..\/..\/..\/bin\/bash» k\u00e4ivitamise ja shell-skripti t\u00e4itmise kaudu \u00fcle kirjutada sisu «\/proc\/self\/exe», mis osutab hosti koopiale \/bin\/bash. <\/p>\n

Teine r\u00fcnnaku variant v\u00f5imaldab r\u00fcndajal, kes on piiratud konteineri sees, p\u00e4\u00e4seda host-\u00f6kos\u00fcsteemi kataloogile, kui konteneris k\u00e4ivitatakse privileegitud protsess runci k\u00e4suga «runc exec» valikuga «--cwd». R\u00fcndaja saab muuta k\u00e4ivitatava protsessi teed s\u00fcmboolseks lingiks, mis osutab «\/proc\/self\/fd\/7\/», saavutades «\/proc\/$exec_pid\/cwd» avamise hosti failis\u00fcsteemile. R\u00fcndaja v\u00f5ib samuti saavutada k\u00e4ivitatavate failide \u00fcle kirjutamise host-\u00f6kos\u00fcsteemi poole, korraldades k\u00e4ivitatud faili k\u00e4ivitamise kaudu host-\u00f6kos\u00fcsteemist («\/proc\/self\/fd\/7\/..\/..\/..\/bin\/bash»), millele j\u00e4rgneb faili «\/proc\/$pid\/exe» \u00fcle kirjutamine, mis osutab k\u00e4ivitatud failile. <\/p>\n

Lisaks on Docker'i t\u00f6\u00f6riistade komponentides leitud veel viis haavatavust: <\/p>\n