CRI-O માં નબળાઈ કે જે યજમાન પર્યાવરણમાં રૂટ એક્સેસની મંજૂરી આપે છે

CRI-O માં નિર્ણાયક નબળાઈ (CVE-2022-0811) ઓળખવામાં આવી છે, જે આઇસોલેટેડ કન્ટેનરનું સંચાલન કરવા માટેનો રનટાઇમ છે, જે તમને આઇસોલેશનને બાયપાસ કરવાની અને હોસ્ટ સિસ્ટમ બાજુ પર તમારા કોડને એક્ઝિક્યુટ કરવાની મંજૂરી આપે છે. જો કુબરનેટ્સ પ્લેટફોર્મ હેઠળ ચાલતા કન્ટેનર ચલાવવા માટે કન્ટેનર અને ડોકરને બદલે CRI-O નો ઉપયોગ કરવામાં આવે, તો હુમલાખોર કુબરનેટ્સ ક્લસ્ટરમાં કોઈપણ નોડ પર નિયંત્રણ મેળવી શકે છે. હુમલો કરવા માટે, તમારી પાસે ફક્ત કુબરનેટ્સ ક્લસ્ટરમાં તમારા કન્ટેનરને ચલાવવા માટે પૂરતા અધિકારો છે.

નબળાઈ એ કર્નલ sysctl પેરામીટર “kernel.core_pattern” (“/proc/sys/kernel/core_pattern”) ને બદલવાની શક્યતાને કારણે થાય છે, જેની ઍક્સેસ બ્લૉક કરવામાં આવી ન હતી, તે હકીકત હોવા છતાં કે તે પરિમાણોમાં સલામત નથી. ફેરફાર, વર્તમાન કન્ટેનરના નામની જગ્યામાં જ માન્ય છે. આ પરિમાણનો ઉપયોગ કરીને, કન્ટેનરમાંથી વપરાશકર્તા હોસ્ટ એન્વાયર્નમેન્ટની બાજુમાં કોર ફાઇલોની પ્રક્રિયા કરવા સંદર્ભે Linux કર્નલની વર્તણૂક બદલી શકે છે અને હેન્ડલરનો ઉલ્લેખ કરીને યજમાન બાજુ પર રૂટ અધિકારો સાથે મનસ્વી આદેશની શરૂઆતનું આયોજન કરી શકે છે. "|/bin/sh -c 'કમાન્ડ્સ'" .

આ સમસ્યા CRI-O 1.19.0 ના પ્રકાશન પછી હાજર છે અને અપડેટ્સ 1.19.6, 1.20.7, 1.21.6, 1.22.3, 1.23.2 અને 1.24.0 માં ઠીક કરવામાં આવી હતી. વિતરણોમાં, સમસ્યા Red Hat OpenShift કન્ટેનર પ્લેટફોર્મ અને openSUSE/SUSE ઉત્પાદનોમાં દેખાય છે, કે જેઓ તેમની રીપોઝીટરીઝમાં cri-o પેકેજ ધરાવે છે.

સોર્સ: opennet.ru