A CRI-O, az elszigetelt konténerek kezelésére szolgáló futtatókörnyezetben kritikus biztonsági rés (CVE-2022-0811) került felfedezésre, amely lehetővé teszi az elszigetelés megkerülését és a kód végrehajtását a gazda rendszer oldalán. Ha a CRI-O-t használják a konténerek indításának megszervezésére a Kubernetes platformon, a támadó ellenőrzése alá vonhat bármely csomópontot a Kubernetes klaszterben. A támadáshoz elegendő jogkör rendelkeznünk, hogy elindítsuk saját konténerünket a Kubernetes klaszterben.
A biztonsági rés oka a kernel sysctl-paraméter «kernel.core_pattern» («/proc/sys/kernel/core_pattern») módosításának lehetősége, amelyhez való hozzáférést nem korlátozták, annak ellenére, hogy nem szerepel a jelenlegi konténer névtereében biztonságosan módosítható paraméterek között. Ezzel a paraméterrel a konténerből a felhasználó megváltoztathatja a Linux kernel viselkedését a core-fájlok kezelésében a gazda környezetében, és tetszőleges parancs root jogokkal való végrehajtását kezdeményezheti, a «|/bin/sh -c ‘parancsok'» kezelőt megadva.
A probléma a CRI-O 1.19.0 kiadásával kezdődött, és az 1.19.6, 1.20.7, 1.21.6, 1.22.3, 1.23.2 és 1.24.0 frissítésekben orvosolták. A disztribúciók esetében a probléma a Red Hat OpenShift Container Platform és az openSUSE/SUSE termékeiben jelentkezik, ahol elérhető a cri-o csomag a repozitóriumokban.
Forrás: opennet.ru
