{"id":103483,"date":"2022-03-06T15:36:45","date_gmt":"2022-03-06T13:36:47","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera"},"modified":"2022-03-06T15:36:45","modified_gmt":"2022-03-06T13:36:47","slug":"uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera","title":{"rendered":"Sebezhet\u0151s\u00e9g a cgroups v1-ben, amely lehet\u0151v\u00e9 teszi az elszigetelt kont\u00e9nerb\u0151l val\u00f3 kil\u00e9p\u00e9st.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Feltehetj\u00fck, hogy a Linux kernel cgroups v1 er\u0151forr\u00e1s-korl\u00e1toz\u00f3 mechanizmus\u00e1nak (CVE-2022-0492) sebezhet\u0151s\u00e9g\u00e9nek r\u00e9szletei kider\u00fcltek, amely felhaszn\u00e1lhat\u00f3 az izol\u00e1lt kont\u00e9nerekb\u0151l val\u00f3 kil\u00e9p\u00e9shez. A probl\u00e9ma a Linux kernel 2.6.24-t\u0151l kezd\u0151d\u0151en l\u00e9p fel, \u00e9s a 5.16.12, 5.15.26, 5.10.97, 5.4.177, 4.19.229, 4.14.266 \u00e9s 4.9.301 verzi\u00f3kban jav\u00edtott\u00e1k. Az egyes disztrib\u00faci\u00f3k friss\u00edt\u00e9seir\u0151l az al\u00e1bbi oldalakon lehet t\u00e1j\u00e9koz\u00f3dni: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux. <\/p>\n
A sebezhet\u0151s\u00e9g egy logikai hiba k\u00f6vetkezm\u00e9nye a release_agent f\u00e1jlkezel\u0151ben, amely miatt nem t\u00f6rt\u00e9ntek meg a sz\u00fcks\u00e9ges ellen\u0151rz\u00e9sek a f\u00e1jlkezel\u0151 teljes jogosults\u00e1gokkal val\u00f3 ind\u00edt\u00e1sakor. A release_agent f\u00e1jl arra szolg\u00e1l, hogy meghat\u00e1rozza azt a programot, amelyet a kernel futtat a folyamat befejez\u00e9s\u00e9n\u00e9l cgroup-ban. Ez a program root jogokkal \u00e9s minden «capabilities» joggal rendelkezik a gy\u00f6k\u00e9r n\u00e9vt\u00e9rben. Azt felt\u00e9telezt\u00e9k, hogy a release_agent be\u00e1ll\u00edt\u00e1s\u00e1hoz csak az adminisztr\u00e1tor f\u00e9rhet hozz\u00e1, de a val\u00f3s\u00e1gban az ellen\u0151rz\u00e9sek a root felhaszn\u00e1l\u00f3 hozz\u00e1f\u00e9r\u00e9si jogaira korl\u00e1toz\u00f3dtak, amely nem z\u00e1rta ki a be\u00e1ll\u00edt\u00e1sok m\u00f3dos\u00edt\u00e1s\u00e1t egy kont\u00e9nerb\u0151l vagy root felhaszn\u00e1l\u00f3 \u00e1ltal, akinek nincs adminisztr\u00e1tori (CAP_SYS_ADMIN) joga. <\/p>\n
Kor\u00e1bban egy ilyen tulajdons\u00e1g nem lett volna sebezhet\u0151s\u00e9gk\u00e9nt \u00e9rt\u00e9kelhet\u0151, de a helyzet megv\u00e1ltozott a felhaszn\u00e1l\u00f3i n\u00e9vterek (user namespaces) megjelen\u00e9s\u00e9vel, amelyek lehet\u0151v\u00e9 teszik az egyedi root felhaszn\u00e1l\u00f3k l\u00e9trehoz\u00e1s\u00e1t a kont\u00e9nerekben, a f\u0151 k\u00f6rnyezeti root felhaszn\u00e1l\u00f3val val\u00f3 \u00fctk\u00f6z\u00e9s n\u00e9lk\u00fcl. Ennek megfelel\u0151en egy t\u00e1mad\u00e1shoz elegend\u0151, ha egy kont\u00e9nerben, amely k\u00fcl\u00f6n felhaszn\u00e1l\u00f3i n\u00e9vt\u00e9rben rendelkezik saj\u00e1t root felhaszn\u00e1l\u00f3val, csatlakoztatj\u00e1k a saj\u00e1t release_agent kezel\u0151j\u00fcket, amely a folyamat befejez\u00e9se ut\u00e1n teljes jogosults\u00e1gokkal fog futni a f\u0151 k\u00f6rnyezetben. <\/p>\n
Alap\u00e9rtelmez\u00e9s szerint a cgroupfs csak olvashat\u00f3 m\u00f3dban van csatolva a kont\u00e9nerben, de nincsenek probl\u00e9m\u00e1k a pszeudo f\u00e1jl rendszer \u00edr\u00e1si m\u00f3dban val\u00f3 vissza-\u00fajracsatol\u00e1s\u00e1val, ha van CAP_SYS_ADMIN jogk\u00f6r vagy a unshare rendszerh\u00edv\u00e1s seg\u00edts\u00e9g\u00e9vel egy be\u00e1gyazott kont\u00e9nert hoznak l\u00e9tre egy k\u00fcl\u00f6n user namespace-szel, ahol az adott kont\u00e9ner sz\u00e1m\u00e1ra el\u00e9rhet\u0151k a CAP_SYS_ADMIN jogok.
<\/center> <\/p>\n
A t\u00e1mad\u00e1st a root jogosults\u00e1gok birtok\u00e1ban, elszigetelt tart\u00e1lyban, vagy a no_new_privs jelz\u0151 n\u00e9lk\u00fcli futtat\u00e1skor lehet v\u00e9grehajtani, amely megakad\u00e1lyozza a tov\u00e1bbi jogosults\u00e1gok megszerz\u00e9s\u00e9t. A rendszerben enged\u00e9lyezve kell lennie a felhaszn\u00e1l\u00f3i n\u00e9vtartom\u00e1nyok t\u00e1mogat\u00e1s\u00e1nak (alap\u00e9rtelmez\u00e9s szerint enged\u00e9lyezve van az Ubuntu \u00e9s a Fedora rendszerekben, de nem aktiv\u00e1lva a Debian \u00e9s RHEL rendszerekben) \u00e9s hozz\u00e1f\u00e9r\u00e9s a gy\u00f6k\u00e9r cgroup v1-hez (p\u00e9ld\u00e1ul a Docker gy\u00f6k\u00e9r RDMA cgroup-ban ind\u00edtja a tart\u00e1lyokat). A t\u00e1mad\u00e1s akkor is lehets\u00e9ges, ha rendelkez\u00e9sre \u00e1ll a CAP_SYS_ADMIN jogosults\u00e1g, ebben az esetben a felhaszn\u00e1l\u00f3i n\u00e9vtartom\u00e1nyok t\u00e1mogat\u00e1sa \u00e9s a gy\u00f6k\u00e9r cgroup v1 hierarchi\u00e1hoz val\u00f3 hozz\u00e1f\u00e9r\u00e9s nem sz\u00fcks\u00e9ges. <\/p>\n
A izol\u00e1lt kont\u00e9nerb\u0151l val\u00f3 kil\u00e9p\u00e9sen t\u00fal a sebezhet\u0151s\u00e9g lehet\u0151v\u00e9 teszi a root felhaszn\u00e1l\u00f3 \u00e1ltal «capabilities» n\u00e9lk\u00fcl futtatott folyamatoknak, vagy b\u00e1rmilyen felhaszn\u00e1l\u00f3nak a CAP_DAC_OVERRIDE jogokkal, hogy hozz\u00e1f\u00e9rjenek az \u00f6sszes rendszer «capabilities»-hez (a t\u00e1mad\u00e1shoz hozz\u00e1f\u00e9r\u00e9s sz\u00fcks\u00e9ges a \/sys\/fs\/cgroup\/*\/release_agent f\u00e1jlhoz, amely a root tulajdon\u00e1ban van). <\/p>\n
Megjegyzend\u0151, hogy a s\u00e9r\u00fcl\u00e9kenys\u00e9g nem haszn\u00e1lhat\u00f3 ki, ha Seccomp, AppArmor vagy SELinux v\u00e9delmi mechanizmusokat alkalmaznak a tart\u00e1lyok tov\u00e1bbi elszigetel\u00e9s\u00e9re, mivel a Seccomp blokkolja az unshare() rendszerh\u00edv\u00e1s el\u00e9r\u00e9s\u00e9t, m\u00edg az AppArmor \u00e9s az SELinux nem engedi a cgroupfs \u00edr\u00e1sbeli csatol\u00e1s\u00e1t. \n Forr\u00e1s: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Sebezhet\u0151s\u00e9g](\"\/wp-content\/uploads\/2022\/03\/710b37582c444cc4be7d6ae4695c8afe.jpg\")
<\/center> <\/p>\n