ഹോസ്റ്റ് എൻവയോൺമെന്റിലേക്ക് റൂട്ട് ആക്‌സസ് അനുവദിക്കുന്ന CRI-O-യിലെ ദുർബലത

ഒറ്റപ്പെട്ട കണ്ടെയ്‌നറുകൾ കൈകാര്യം ചെയ്യുന്നതിനുള്ള ഒരു റൺടൈമായ CRI-O-യിൽ ഒരു ഗുരുതരമായ കേടുപാടുകൾ (CVE-2022-0811) തിരിച്ചറിഞ്ഞു, ഇത് ഐസൊലേഷൻ മറികടക്കാനും ഹോസ്റ്റ് സിസ്റ്റം സൈഡിൽ നിങ്ങളുടെ കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാനും നിങ്ങളെ അനുവദിക്കുന്നു. കുബർനെറ്റസ് പ്ലാറ്റ്‌ഫോമിന് കീഴിൽ പ്രവർത്തിക്കുന്ന കണ്ടെയ്‌നറുകൾ പ്രവർത്തിപ്പിക്കാൻ കണ്ടെയ്‌നർഡിനും ഡോക്കറിനും പകരം CRI-O ഉപയോഗിക്കുകയാണെങ്കിൽ, ആക്രമണകാരിക്ക് കുബർനെറ്റസ് ക്ലസ്റ്ററിലെ ഏത് നോഡിന്റെയും നിയന്ത്രണം നേടാനാകും. ഒരു ആക്രമണം നടത്താൻ, കുബർനെറ്റസ് ക്ലസ്റ്ററിൽ നിങ്ങളുടെ കണ്ടെയ്‌നർ പ്രവർത്തിപ്പിക്കാനുള്ള അവകാശം മാത്രമേ നിങ്ങൾക്കുള്ളൂ.

കേർണൽ sysctl പാരാമീറ്റർ “kernel.core_pattern” (“/proc/sys/kernel/core_pattern”) മാറ്റാനുള്ള സാധ്യതയാണ് അപകടത്തിന് കാരണം, അതിലേക്കുള്ള ആക്‌സസ്സ് തടയപ്പെട്ടില്ല, ഇത് സുരക്ഷിതമായ പാരാമീറ്ററുകളിൽ പെട്ടതല്ല എന്ന വസ്തുത ഉണ്ടായിരുന്നിട്ടും. നിലവിലെ കണ്ടെയ്‌നറിന്റെ നെയിംസ്‌പെയ്‌സിൽ മാത്രം സാധുതയുള്ള മാറ്റം. ഈ പരാമീറ്റർ ഉപയോഗിച്ച്, ഒരു കണ്ടെയ്‌നറിൽ നിന്നുള്ള ഉപയോക്താവിന് ഹോസ്റ്റ് എൻവയോൺമെന്റിന്റെ വശത്തുള്ള കോർ ഫയലുകൾ പ്രോസസ്സ് ചെയ്യുന്നതുമായി ബന്ധപ്പെട്ട് ലിനക്സ് കേർണലിന്റെ സ്വഭാവം മാറ്റാനും ഹോസ്റ്റ് വശത്ത് റൂട്ട് അവകാശങ്ങളുള്ള ഒരു അനിയന്ത്രിതമായ കമാൻഡിന്റെ ലോഞ്ച് സംഘടിപ്പിക്കാനും കഴിയും. "|/bin/sh -c 'കമാൻഡുകൾ'" .

CRI-O 1.19.0 പുറത്തിറക്കിയതു മുതൽ ഈ പ്രശ്നം നിലവിലുണ്ട്, 1.19.6, 1.20.7, 1.21.6, 1.22.3, 1.23.2, 1.24.0 എന്നിവയിൽ ഇത് പരിഹരിച്ചു. വിതരണങ്ങളിൽ, Red Hat OpenShift കണ്ടെയ്‌നർ പ്ലാറ്റ്‌ഫോമിലും അവരുടെ ശേഖരണങ്ങളിൽ cri-o പാക്കേജ് ഉള്ള openSUSE/SUSE ഉൽപ്പന്നങ്ങളിലും പ്രശ്നം ദൃശ്യമാകുന്നു.

അവലംബം: opennet.ru