ഒറ്റപ്പെട്ട കണ്ടെയ്‌നറിൽ നിന്ന് രക്ഷപ്പെടാൻ അനുവദിക്കുന്ന cgroups v1-ലെ അപകടസാധ്യത

ലിനക്സ് കേർണലിൽ cgroups v2022 റിസോഴ്‌സ് ലിമിറ്റിംഗ് മെക്കാനിസം നടപ്പിലാക്കുന്നതിലെ ഒരു ദുർബലതയുടെ (CVE-0492-1) വിശദാംശങ്ങൾ വെളിപ്പെടുത്തിയിട്ടുണ്ട്, ഇത് ഒറ്റപ്പെട്ട കണ്ടെയ്‌നറുകളിൽ നിന്ന് രക്ഷപ്പെടാൻ ഉപയോഗിക്കാം. ലിനക്സ് കേർണൽ 2.6.24 മുതൽ ഈ പ്രശ്നം നിലവിലുണ്ട്, കൂടാതെ 5.16.12, 5.15.26, 5.10.97, 5.4.177, 4.19.229, 4.14.266, 4.9.301 എന്നീ കേർണൽ റിലീസുകളിൽ ഇത് പരിഹരിച്ചു. ഈ പേജുകളിലെ വിതരണങ്ങളിലെ പാക്കേജ് അപ്‌ഡേറ്റുകളുടെ പ്രസിദ്ധീകരണങ്ങൾ നിങ്ങൾക്ക് പിന്തുടരാനാകും: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux.

പൂർണ്ണ അധികാരങ്ങളോടെ ഹാൻഡ്‌ലർ പ്രവർത്തിപ്പിക്കുമ്പോൾ ശരിയായ പരിശോധനകൾ നടത്തുന്നതിൽ പരാജയപ്പെടുന്ന റിലീസ്_ഏജന്റ് ഫയൽ ഹാൻഡ്‌ലറിലെ ലോജിക് പിശകാണ് ഈ അപകടത്തിന് കാരണം. ഒരു cgroup-ലെ ഒരു പ്രോസസ്സ് അവസാനിപ്പിക്കുമ്പോൾ, കേർണൽ എക്സിക്യൂട്ട് ചെയ്യേണ്ട പ്രോഗ്രാമിനെ നിർവചിക്കാൻ റിലീസ്_ഏജന്റ് ഫയൽ ഉപയോഗിക്കുന്നു. ഈ പ്രോഗ്രാം റൂട്ടായും റൂട്ട് നെയിംസ്‌പെയ്‌സിലെ എല്ലാ "കഴിവുകളോടെയും" പ്രവർത്തിക്കുന്നു. റിലീസ്_ഏജന്റ് ക്രമീകരണത്തിലേക്ക് അഡ്മിനിസ്ട്രേറ്റർക്ക് മാത്രമേ ആക്‌സസ്സ് ഉള്ളൂ എന്ന് അനുമാനിക്കപ്പെടുന്നു, എന്നാൽ യഥാർത്ഥത്തിൽ റൂട്ട് ഉപയോക്താവിന് ആക്‌സസ് അനുവദിക്കുന്നതിലേക്ക് പരിശോധനകൾ പരിമിതപ്പെടുത്തിയിരിക്കുന്നു, അത് കണ്ടെയ്‌നറിൽ നിന്നോ അഡ്‌മിനിസ്‌ട്രേറ്റർ അവകാശങ്ങളില്ലാതെ ഒരു റൂട്ട് ഉപയോക്താവോ മാറ്റുന്നത് ഒഴിവാക്കിയില്ല (CAP_SYS_ADMIN ).

മുമ്പ്, അത്തരമൊരു സവിശേഷത ഒരു അപകടസാധ്യതയായി കണക്കാക്കില്ലായിരുന്നു, എന്നാൽ യൂസർ നെയിംസ്പേസുകളുടെ (ഉപയോക്തൃ നെയിംസ്പേസുകൾ) ആവിർഭാവത്തോടെ സ്ഥിതി മാറി, ഇത് റൂട്ട് ഉപയോക്താവുമായി ഓവർലാപ്പ് ചെയ്യാത്ത കണ്ടെയ്നറുകളിൽ പ്രത്യേക റൂട്ട് ഉപയോക്താക്കളെ സൃഷ്ടിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു. പ്രധാന പരിസ്ഥിതി. അതനുസരിച്ച്, ഒരു ആക്രമണത്തിന്, ഒരു പ്രത്യേക യൂസർ ഐഡി സ്‌പെയ്‌സിൽ സ്വന്തം റൂട്ട് യൂസർ ഉള്ള ഒരു കണ്ടെയ്‌നറിൽ നിങ്ങളുടെ റിലീസ്_ഏജന്റ് ഹാൻഡ്‌ലറിനെ കണക്‌റ്റ് ചെയ്‌താൽ മതിയാകും, ഇത് പ്രോസസ്സ് പൂർത്തിയാക്കിയ ശേഷം, പ്രധാന പരിതസ്ഥിതിയുടെ മുഴുവൻ പ്രത്യേകാവകാശങ്ങളോടെയും നടപ്പിലാക്കും.

സ്ഥിരസ്ഥിതിയായി, cgroupfs റീഡ്-ഒൺലി മോഡിൽ ഒരു കണ്ടെയ്‌നറിൽ മൌണ്ട് ചെയ്‌തിരിക്കുന്നു, എന്നാൽ നിങ്ങൾക്ക് CAP_SYS_ADMIN അവകാശങ്ങൾ ഉണ്ടെങ്കിൽ അല്ലെങ്കിൽ അൺഷെയർ സിസ്റ്റം കോൾ ഉപയോഗിച്ച് ഒരു പ്രത്യേക ഉപയോക്തൃ നെയിംസ്‌പെയ്‌സുള്ള ഒരു നെസ്റ്റഡ് കണ്ടെയ്‌നർ സൃഷ്‌ടിക്കുകയാണെങ്കിൽ, ഈ സ്യൂഡോഫുകൾ റൈറ്റ് മോഡിൽ റീമൗണ്ട് ചെയ്യുന്നതിൽ പ്രശ്‌നമില്ല. സൃഷ്ടിച്ച കണ്ടെയ്‌നറിന് CAP_SYS_ADMIN അവകാശങ്ങൾ ലഭ്യമാണ്.

നിങ്ങൾക്ക് ഒരു ഒറ്റപ്പെട്ട കണ്ടെയ്‌നറിൽ റൂട്ട് പ്രത്യേകാവകാശങ്ങൾ ഉണ്ടെങ്കിലോ no_new_privs ഫ്ലാഗ് ഇല്ലാതെ ഒരു കണ്ടെയ്‌നർ പ്രവർത്തിപ്പിക്കുമ്പോഴോ ആക്രമണം നടത്താം, ഇത് അധിക പ്രത്യേകാവകാശങ്ങൾ നേടുന്നത് തടയുന്നു. സിസ്റ്റത്തിന് യൂസർ നെയിംസ്‌പേസുകൾ പ്രവർത്തനക്ഷമമാക്കിയിരിക്കണം (ഉബുണ്ടുവിലും ഫെഡോറയിലും സ്ഥിരസ്ഥിതിയായി പ്രവർത്തനക്ഷമമാക്കിയിരിക്കുന്നു, പക്ഷേ ഡെബിയനിലും RHEL-ലും സജീവമാക്കിയിട്ടില്ല) കൂടാതെ റൂട്ട് cgroup v1-ലേക്ക് ആക്‌സസ് ഉണ്ടായിരിക്കണം (ഉദാഹരണത്തിന്, റൂട്ട് RDMA cgroup-ൽ ഡോക്കർ കണ്ടെയ്‌നറുകൾ പ്രവർത്തിപ്പിക്കുന്നു). നിങ്ങൾക്ക് CAP_SYS_ADMIN പ്രത്യേകാവകാശങ്ങൾ ഉണ്ടെങ്കിൽ ആക്രമണം സാധ്യമാണ്, ഈ സാഹചര്യത്തിൽ ഉപയോക്തൃ നെയിംസ്‌പേസുകൾക്കുള്ള പിന്തുണയും cgroup v1 റൂട്ട് ശ്രേണിയിലേക്കുള്ള ആക്‌സസും ആവശ്യമില്ല.

ഒരു ഒറ്റപ്പെട്ട കണ്ടെയ്‌നറിൽ നിന്ന് രക്ഷപ്പെടുന്നതിനു പുറമേ, "കഴിവുകൾ" ഇല്ലാതെ ഒരു റൂട്ട് ഉപയോക്താവ് അല്ലെങ്കിൽ CAP_DAC_OVERRIDE അവകാശങ്ങളുള്ള ഏതെങ്കിലും ഉപയോക്താവ് സമാരംഭിക്കുന്ന പ്രക്രിയകളും ദുർബലത അനുവദിക്കുന്നു (ആക്രമണത്തിന് /sys/fs/cgroup/*/release_agent എന്ന ഫയലിലേക്ക് ആക്‌സസ് ആവശ്യമാണ്. റൂട്ടിന്റെ ഉടമസ്ഥതയിലുള്ളത്) എല്ലാ വ്യവസ്ഥാപരമായ "കഴിവുകളിലേക്കും" പ്രവേശനം നേടുന്നതിന്.

കണ്ടെയ്‌നറുകളുടെ അധിക ഐസൊലേഷനായി Seccomp, AppArmor അല്ലെങ്കിൽ SELinux പ്രൊട്ടക്ഷൻ മെക്കാനിസങ്ങൾ ഉപയോഗിക്കുമ്പോൾ അപകടസാധ്യത പ്രയോജനപ്പെടുത്താൻ കഴിയില്ല, കാരണം Seccomp അൺഷെയർ() സിസ്റ്റം കോളിലേക്കുള്ള ആക്‌സസ്സ് തടയുന്നു, കൂടാതെ AppArmor, SELinux എന്നിവ റൈറ്റ് മോഡിൽ cgroupfs മൗണ്ടുചെയ്യാൻ അനുവദിക്കുന്നില്ല.

അവലംബം: opennet.ru