ຊ່ອງໂຫວ່ໃນ CRI-O ທີ່ອະນຸຍາດໃຫ້ຮາກເຂົ້າເຖິງສະພາບແວດລ້ອມເຈົ້າພາບ

ຊ່ອງໂຫວ່ທີ່ສໍາຄັນ (CVE-2022-0811) ໄດ້ຖືກລະບຸໄວ້ໃນ CRI-O, ໄລຍະແລ່ນສໍາລັບການຈັດການຕູ້ຄອນເທນເນີທີ່ໂດດດ່ຽວ, ທີ່ອະນຸຍາດໃຫ້ທ່ານຂ້າມການໂດດດ່ຽວ ແລະປະຕິບັດລະຫັດຂອງທ່ານໃນດ້ານລະບົບແມ່ຂ່າຍ. ຖ້າ CRI-O ຖືກໃຊ້ແທນ containerd ແລະ Docker ເພື່ອແລ່ນ container ທີ່ແລ່ນພາຍໃຕ້ແພລະຕະຟອມ Kubernetes, ຜູ້ໂຈມຕີສາມາດຄວບຄຸມ node ໃດໆໃນ cluster Kubernetes. ເພື່ອປະຕິບັດການໂຈມຕີ, ທ່ານພຽງແຕ່ມີສິດພຽງພໍທີ່ຈະດໍາເນີນການບັນຈຸຂອງທ່ານໃນກຸ່ມ Kubernetes.

ຊ່ອງໂຫວ່ແມ່ນເກີດມາຈາກຄວາມເປັນໄປໄດ້ຂອງການປ່ຽນແປງພາລາມິເຕີ kernel sysctl “kernel.core_pattern” (“/proc/sys/kernel/core_pattern”), ການເຂົ້າເຖິງທີ່ບໍ່ໄດ້ຖືກບລັອກ, ເຖິງແມ່ນວ່າມັນບໍ່ຢູ່ໃນບັນດາພາລາມິເຕີທີ່ປອດໄພ. ການປ່ຽນແປງ, ຖືກຕ້ອງພຽງແຕ່ໃນ namespace ຂອງບັນຈຸປະຈຸບັນ. ການນໍາໃຊ້ພາລາມິເຕີນີ້, ຜູ້ໃຊ້ຈາກ container ສາມາດປ່ຽນພຶດຕິກໍາຂອງ Linux kernel ກ່ຽວກັບການປຸງແຕ່ງໄຟລ໌ຫຼັກຢູ່ຂ້າງຂອງສະພາບແວດລ້ອມຂອງເຈົ້າພາບແລະຈັດຕັ້ງການເປີດຕົວຄໍາສັ່ງທີ່ຕົນເອງມັກທີ່ມີສິດທິຮາກໃນດ້ານເຈົ້າພາບໂດຍການລະບຸຕົວຈັດການເຊັ່ນ: “|/bin/sh -c 'ຄຳສັ່ງ'” .

ບັນຫາມີຢູ່ຕັ້ງແຕ່ການປ່ອຍ CRI-O 1.19.0 ແລະຖືກແກ້ໄຂໃນການປັບປຸງ 1.19.6, 1.20.7, 1.21.6, 1.22.3, 1.23.2 ແລະ 1.24.0. ໃນບັນດາການແຈກຢາຍ, ບັນຫາຈະປາກົດຢູ່ໃນ Red Hat OpenShift Container Platform ແລະຜະລິດຕະພັນ openSUSE/SUSE, ເຊິ່ງມີຊຸດ cri-o ຢູ່ໃນບ່ອນເກັບມ້ຽນຂອງພວກເຂົາ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru