U CRI-O, runtime za upravljanje izoliranim kontejnerima, otkrivena je kritična ranjivost (CVE-2022-0811) koja omogućuje zaobilaženje izolacije i izvršavanje vlastitog koda na strani host sustava. U slučaju korištenja CRI-O umjesto containerd i Docker za pokretanje kontejnera koji rade na platformi Kubernetes, napadač može preuzeti kontrolu nad bilo kojim čvorom u Kubernetes klasteru. Za provođenje napada dovoljna su prava za pokretanje vlastitog kontejnera u Kubernetes klasteru.
Ranjivost je uzrokovana mogućnošću izmjene sysctl-parametra jezgre "kernel.core_pattern" ("/proc/sys/kernel/core_pattern"), kojem se pristup nije blokirao iako ne pripada sigurnim parametrima za izmjenu koji djeluju samo unutar prostora imena trenutnog kontejnera. Pomoću ovog parametra korisnik iz kontejnera može promijeniti ponašanje jezgre Linuxa u vezi s obradom core datoteka na strani host okruženja i organizirati izvršavanje proizvoljne naredbe s pravima root na strani hosta, navodeći handler tipa "|/bin/sh -c 'naredbe'".
Problem se pojavljuje od verzije CRI-O 1.19.0 i ispravljen je u ažuriranjima 1.19.6, 1.20.7, 1.21.6, 1.22.3, 1.23.2 i 1.24.0. Među distribucijama, problem se javlja u proizvodima Red Hat OpenShift Container Platform i openSUSE/SUSE, u čijim se repozitorijima nalazi paket cri-o.
Izvor: opennet.ru
