🥇सीआरआई-ओ में भेद्यता मेजबान वातावरण तक रूट पहुंच की अनुमति देती है

CRI-O में एक गंभीर भेद्यता (CVE-2022-0811) की पहचान की गई है, जो पृथक कंटेनरों के प्रबंधन के लिए एक रनटाइम है, जो आपको अलगाव को बायपास करने और होस्ट सिस्टम साइड पर अपना कोड निष्पादित करने की अनुमति देता है। यदि कुबेरनेट्स प्लेटफ़ॉर्म के तहत चल रहे कंटेनरों को चलाने के लिए कंटेनरड और डॉकर के बजाय सीआरआई-ओ का उपयोग किया जाता है, तो एक हमलावर कुबेरनेट्स क्लस्टर में किसी भी नोड पर नियंत्रण हासिल कर सकता है। किसी हमले को अंजाम देने के लिए, आपके पास केवल अपने कंटेनर को कुबेरनेट्स क्लस्टर में चलाने के लिए पर्याप्त अधिकार हैं।

भेद्यता कर्नेल sysctl पैरामीटर "कर्नेल.कोर_पैटर्न" ("/proc/sys/कर्नेल/कोर_पैटर्न") को बदलने की संभावना के कारण होती है, जिस तक पहुंच अवरुद्ध नहीं की गई थी, इस तथ्य के बावजूद कि यह सुरक्षित मापदंडों में से नहीं है परिवर्तन, केवल वर्तमान कंटेनर के नामस्थान में मान्य है। इस पैरामीटर का उपयोग करके, एक कंटेनर से एक उपयोगकर्ता होस्ट वातावरण के पक्ष में कोर फ़ाइलों को संसाधित करने के संबंध में लिनक्स कर्नेल के व्यवहार को बदल सकता है और एक हैंडलर को निर्दिष्ट करके होस्ट पक्ष पर रूट अधिकारों के साथ एक मनमाना कमांड के लॉन्च को व्यवस्थित कर सकता है “|/bin/sh -c 'कमांड'”।

समस्या CRI-O 1.19.0 के रिलीज़ होने के बाद से मौजूद है और इसे अपडेट 1.19.6, 1.20.7, 1.21.6, 1.22.3, 1.23.2 और 1.24.0 में ठीक किया गया था। वितरणों के बीच, समस्या Red Hat OpenShift कंटेनर प्लेटफ़ॉर्म और OpenSUSE/SUSE उत्पादों में दिखाई देती है, जिनके रिपॉजिटरी में cri-o पैकेज होता है।

स्रोत: opennet.ru

सीआरआई-ओ में भेद्यता जो मेजबान वातावरण तक रूट पहुंच की अनुमति देती है

एक टिप्पणी जोड़ें उत्तर रद्द