So-leòntachd ann an Docker a leigeas leat teicheadh ​​​​bhon container

Ann an Inneal airson a bhith a’ riaghladh luchd-gleidhidh Docker Linux Iomallach aithnichte so-leòntachd (CVE-2018-15664), a leigeas leat, ann an suidheachadh sònraichte, faighinn chun àrainneachd aoigheachd bho shoitheach ma tha comas agad na h-ìomhaighean agad a chuir air bhog air an t-siostam no le cothrom air soitheach ruith. Tha an duilgheadas a’ nochdadh anns a h-uile dreach de Docker agus tha e fhathast gun atharrachadh (air a mholadh, ach cha deach gabhail ris fhathast, paiste, a chuireas stad air a’ ghobhar fhad ‘s a bhios e a’ coileanadh obair leis an FS).

Tha an so-leòntachd a’ leigeil le faidhlichean a bhith air an toirt a-mach à soitheach gu pàirt neo-riaghailteach de shiostam faidhle an t-siostam aoigheachd nuair a thathar a’ cur an gnìomh an àithne “docker cp”. Bithear a’ toirt a-mach faidhle le còraichean freumha, a tha ga dhèanamh comasach faidhlichean sam bith a leughadh no a sgrìobhadh san àrainneachd aoigheachd, a tha gu leòr airson smachd fhaighinn air an t-siostam aoigheachd (mar eisimpleir, faodaidh tu sgrìobhadh thairis air /etc/shadow).

Chan urrainnear an ionnsaigh a dhèanamh ach nuair a chuireas an rianaire an gnìomh an àithne “docker cp” gus faidhlichean a chopaigeadh gu no bhon ghobhar. Mar sin, feumaidh an neach-ionnsaigh dòigh air choireigin toirt a chreidsinn air rianadair an Docker gu bheil feum air an obair seo a dhèanamh agus ro-innse an t-slighe a thathar a’ cleachdadh nuair a thathar a’ dèanamh lethbhreac. Air an làimh eile, faodar ionnsaigh a dhèanamh, mar eisimpleir, nuair a bhios seirbheisean sgòthan a’ toirt seachad innealan airson faidhlichean rèiteachaidh a chopaigeadh a-steach do shoitheach, a chaidh a thogail a’ cleachdadh an àithne “docker cp”.

Tha an duilgheadas air adhbhrachadh le locht ann an cleachdadh na gnìomh LeanSymlinkInScope, a bhios a’ tomhas na slighe iomlan anns a’ phrìomh shiostam faidhle stèidhichte air an t-slighe càirdeach, a’ toirt aire do shuidheachadh an t-soithich. Fhad 'sa thathar a' cur an gnìomh an àithne "docker cp", geàrr-ùine suidheachadh rèis, anns a bheil an t-slighe air a dhearbhadh mar-thà, ach cha deach an obair a dhèanamh fhathast. Leis gu bheil an leth-bhreac air a dhèanamh ann an co-theacsa prìomh shiostam faidhle an t-siostam aoigheachd, taobh a-staigh ùine shònraichte, faodaidh tu slighe eile a chuir an àite a ’cheangail agus leth-bhreac dàta a thòiseachadh gu àite neo-riaghailteach san t-siostam faidhle taobh a-muigh an t-siostam faidhle. soitheach.

Leis gu bheil an ùine airson suidheachadh rèis a bhith air a chuingealachadh gu mòr ann an ullachadh brath a ghabhail air prototype Nuair a bha e a’ dèanamh obair leth-bhreac bho shoitheach, bha e comasach ionnsaigh shoirbheachail a choileanadh ann an nas lugha na 1% de chùisean nuair a chaidh ceangal samhlachail a chuir an àite an t-slighe a chaidh a chleachdadh san obair leth-bhreac (chaidh an ionnsaigh shoirbheachail a dhèanamh às deidh timcheall air 10 diogan de dh’ oidhirpean gus am faidhle a chopaigeadh gu leantainneach ann an lùb leis an àithne “docker cp”).

Le bhith a’ dèanamh obair leth-bhreac a-steach do shoitheach, faodaidh tu ionnsaigh ath-sgrìobhadh faidhle ath-aithris air an t-siostam aoigheachd ann am beagan thursan. Tha comas ionnsaigh air sgàth gu bheilear a’ cleachdadh a’ bhun-bheachd “chrootarchive” nuair a thathar a’ dèanamh lethbhreac a-steach do shoitheach, a rèir mar a bhios am pròiseas archive.go a’ toirt a-mach an tasglann chan ann a-steach do chroot freumh an t-soithich, ach a-steach do chroot an t-soithich. eòlaire pàrant den t-slighe targaid, fo smachd an neach-ionnsaigh, agus nach cuir e stad air a bhith a’ cur an soitheach gu bàs (tha chroot air a chleachdadh mar chomharradh gus brath a ghabhail air suidheachaidhean cinnidh).

Source: fosgailtenet.ru