ຊ່ອງໂຫວ່ໃນ Docker ທີ່ຊ່ວຍໃຫ້ທ່ານສາມາດຫລົບຫນີຈາກກ່ອງບັນຈຸ

ໃນ Toolkit ສໍາລັບການຄຸ້ມຄອງບ່ອນບັນຈຸ Linux Docker ທີ່ໂດດດ່ຽວ ກໍານົດ ຄວາມອ່ອນແອ (CVE-2018-15664), ເຊິ່ງ, ພາຍໃຕ້ສະຖານະການສະເພາະໃດຫນຶ່ງ, ອະນຸຍາດໃຫ້ທ່ານເຂົ້າເຖິງສະພາບແວດລ້ອມເຈົ້າພາບຈາກຕູ້ຄອນເທນເນີຖ້າທ່ານມີຄວາມສາມາດໃນການເປີດຕົວຮູບພາບຂອງທ່ານໃນລະບົບຫຼືມີການເຂົ້າເຖິງຖັງທີ່ແລ່ນ. ບັນຫາປາກົດຢູ່ໃນທຸກລຸ້ນຂອງ Docker ແລະຍັງບໍ່ຖືກແກ້ໄຂ (ສະເຫນີ, ແຕ່ຍັງບໍ່ໄດ້ຮັບການຍອມຮັບ, patch, ເຊິ່ງປະຕິບັດການ suspension ຂອງບັນຈຸໃນຂະນະທີ່ປະຕິບັດການດໍາເນີນງານກັບ FS).

ຊ່ອງໂຫວ່ເຮັດໃຫ້ໄຟລ໌ຖືກສະກັດອອກຈາກຖັງບັນຈຸໄປຫາສ່ວນທີ່ມັກຂອງລະບົບໄຟລ໌ຂອງລະບົບເຈົ້າພາບໃນເວລາທີ່ປະຕິບັດຄໍາສັ່ງ "docker cp". ການສະກັດໄຟລ໌ແມ່ນປະຕິບັດດ້ວຍສິດທິຂອງຮາກ, ເຊິ່ງເຮັດໃຫ້ມັນສາມາດອ່ານຫຼືຂຽນໄຟລ໌ໃດໆໃນສະພາບແວດລ້ອມຂອງເຈົ້າພາບ, ເຊິ່ງພຽງພໍທີ່ຈະໄດ້ຮັບການຄວບຄຸມຂອງລະບົບໂຮດ (ຕົວຢ່າງ, ທ່ານສາມາດຂຽນທັບ /etc/shadow).

ການໂຈມຕີສາມາດເຮັດໄດ້ພຽງແຕ່ເມື່ອຜູ້ບໍລິຫານປະຕິບັດຄໍາສັ່ງ "docker cp" ເພື່ອຄັດລອກໄຟລ໌ໄປຫາຫຼືຈາກບັນຈຸ. ດັ່ງນັ້ນ, ຜູ້ໂຈມຕີຈໍາເປັນຕ້ອງເຮັດໃຫ້ຜູ້ບໍລິຫານ Docker ມີຄວາມຕ້ອງການທີ່ຈະດໍາເນີນການນີ້ແລະຄາດຄະເນເສັ້ນທາງທີ່ໃຊ້ໃນເວລາຄັດລອກ. ໃນທາງກົງກັນຂ້າມ, ການໂຈມຕີສາມາດປະຕິບັດໄດ້, ຕົວຢ່າງ, ເມື່ອບໍລິການຟັງໄດ້ສະຫນອງເຄື່ອງມືສໍາລັບການຄັດລອກໄຟລ໌ການຕັ້ງຄ່າເຂົ້າໄປໃນຖັງ, ສ້າງຂຶ້ນໂດຍໃຊ້ຄໍາສັ່ງ "docker cp".

ບັນຫາແມ່ນເກີດມາຈາກຂໍ້ບົກພ່ອງໃນການປະຕິບັດຫນ້າທີ່ ປະຕິບັດຕາມSymlinkInScope, ເຊິ່ງຄິດໄລ່ເສັ້ນທາງຢ່າງແທ້ຈິງໃນລະບົບໄຟລ໌ຕົ້ນຕໍໂດຍອີງໃສ່ເສັ້ນທາງພີ່ນ້ອງ, ຄໍານຶງເຖິງການຈັດວາງຂອງບັນຈຸ. ໃນຂະນະທີ່ປະຕິບັດຄໍາສັ່ງ "docker cp", ໄລຍະສັ້ນ ສະ​ພາບ​ການ​ເຊື້ອ​ຊາດ​, ໃນທີ່ເສັ້ນທາງດັ່ງກ່າວໄດ້ຖືກກວດສອບແລ້ວ, ແຕ່ການປະຕິບັດງານຍັງບໍ່ທັນໄດ້ປະຕິບັດ. ນັບຕັ້ງແຕ່ການຄັດລອກໄດ້ຖືກປະຕິບັດໃນສະພາບການຂອງລະບົບໄຟລ໌ຕົ້ນຕໍຂອງລະບົບເຈົ້າພາບ, ພາຍໃນໄລຍະເວລາທີ່ກໍານົດ, ທ່ານສາມາດຈັດການເພື່ອທົດແທນການເຊື່ອມຕໍ່ກັບເສັ້ນທາງອື່ນແລະເລີ່ມຕົ້ນການຄັດລອກຂໍ້ມູນໄປຫາສະຖານທີ່ທີ່ຕັ້ງໃຈໃນລະບົບໄຟລ໌ພາຍນອກ. ບັນຈຸ.

ເນື່ອງຈາກປ່ອງຢ້ຽມເວລາສໍາລັບເງື່ອນໄຂການແຂ່ງຂັນທີ່ເກີດຂື້ນແມ່ນຈໍາກັດສູງໃນການກະກຽມ ການຂຸດຄົ້ນຕົ້ນແບບ ເມື່ອປະຕິບັດການຄັດລອກຈາກຕູ້ຄອນເທນເນີ, ມັນເປັນໄປໄດ້ທີ່ຈະບັນລຸການໂຈມຕີທີ່ປະສົບຜົນສໍາເລັດໃນຫນ້ອຍກວ່າ 1% ຂອງກໍລະນີ, ເມື່ອປ່ຽນເປັນວົງຈອນຂອງການເຊື່ອມໂຍງສັນຍາລັກໃນເສັ້ນທາງທີ່ໃຊ້ໃນການດໍາເນີນງານສໍາເນົາ (ການໂຈມຕີທີ່ປະສົບຜົນສໍາເລັດແມ່ນດໍາເນີນຫຼັງຈາກຄວາມພະຍາຍາມປະມານ 10 ວິນາທີ. ເພື່ອຄັດລອກໄຟລ໌ຢ່າງຕໍ່ເນື່ອງໃນ loop ດ້ວຍຄໍາສັ່ງ "docker cp").

ໂດຍການປະຕິບັດການຄັດລອກເຂົ້າໄປໃນຖັງ, ທ່ານສາມາດບັນລຸການໂຈມຕີການຂຽນທັບໄຟລ໌ທີ່ຊ້ໍາກັນໃນລະບົບເຈົ້າພາບໃນພຽງແຕ່ສອງສາມຄັ້ງ. ຄວາມເປັນໄປໄດ້ຂອງການໂຈມຕີແມ່ນເນື່ອງມາຈາກຄວາມຈິງທີ່ວ່າໃນເວລາທີ່ຄັດລອກເຂົ້າໄປໃນຖັງ, ແນວຄວາມຄິດ "chrootarchive" ຖືກນໍາໃຊ້, ອີງຕາມຂະບວນການ archive.go ສະກັດການເກັບຮັກສາບໍ່ໄດ້ເຂົ້າໄປໃນ chroot ຂອງຮາກບັນຈຸ, ແຕ່ເຂົ້າໄປໃນ chroot ຂອງ. ໄດເລກະທໍລີພໍ່ແມ່ຂອງເສັ້ນທາງເປົ້າຫມາຍ, ຄວບຄຸມໂດຍຜູ້ໂຈມຕີ, ແລະບໍ່ຢຸດການປະຕິບັດການບັນຈຸ (chroot ຖືກນໍາໃຊ້ເປັນເຄື່ອງຫມາຍການຂຸດຄົ້ນເງື່ອນໄຂເຊື້ອຊາດ).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru