കണ്ടെയ്‌നറിൽ നിന്ന് രക്ഷപ്പെടാൻ നിങ്ങളെ അനുവദിക്കുന്ന ഡോക്കറിലെ ദുർബലത

ഒറ്റപ്പെട്ട ലിനക്സ് ഡോക്കർ കണ്ടെയ്‌നറുകൾ കൈകാര്യം ചെയ്യുന്നതിനുള്ള ടൂൾകിറ്റിൽ തിരിച്ചറിഞ്ഞു ദുർബലത (CVE-2018-15664), ഒരു നിശ്ചിത സാഹചര്യങ്ങളിൽ, നിങ്ങളുടെ ഇമേജുകൾ സിസ്റ്റത്തിലോ പ്രവർത്തിക്കുന്ന കണ്ടെയ്‌നറിലേക്കുള്ള ആക്‌സസ്സിലോ ലോഞ്ച് ചെയ്യാനുള്ള കഴിവ് നിങ്ങൾക്കുണ്ടെങ്കിൽ കണ്ടെയ്‌നറിൽ നിന്ന് ഹോസ്റ്റ് എൻവയോൺമെന്റ് ആക്‌സസ് ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു. ഡോക്കറിന്റെ എല്ലാ പതിപ്പുകളിലും ഈ പ്രശ്നം ദൃശ്യമാകുകയും പരിഹരിക്കപ്പെടാതെ തുടരുകയും ചെയ്യുന്നു (നിർദ്ദേശിച്ചത്, പക്ഷേ ഇതുവരെ അംഗീകരിച്ചിട്ടില്ല, പാച്ച്, FS ഉപയോഗിച്ച് പ്രവർത്തനങ്ങൾ നടത്തുമ്പോൾ കണ്ടെയ്നറിന്റെ സസ്പെൻഷൻ നടപ്പിലാക്കുന്നു).

"ഡോക്കർ സിപി" കമാൻഡ് എക്സിക്യൂട്ട് ചെയ്യുമ്പോൾ ഹോസ്റ്റ് സിസ്റ്റത്തിന്റെ ഫയൽ സിസ്റ്റത്തിന്റെ അനിയന്ത്രിതമായ ഭാഗത്തേക്ക് ഒരു കണ്ടെയ്നറിൽ നിന്ന് ഫയലുകൾ എക്‌സ്‌ട്രാക്‌റ്റുചെയ്യാൻ ദുർബലത അനുവദിക്കുന്നു. റൂട്ട് അവകാശങ്ങൾ ഉപയോഗിച്ചാണ് ഫയൽ എക്‌സ്‌ട്രാക്‌ഷൻ നടത്തുന്നത്, ഇത് ഹോസ്റ്റ് പരിതസ്ഥിതിയിൽ ഏതെങ്കിലും ഫയലുകൾ വായിക്കാനോ എഴുതാനോ സാധ്യമാക്കുന്നു, ഇത് ഹോസ്റ്റ് സിസ്റ്റത്തിന്റെ നിയന്ത്രണം നേടുന്നതിന് പര്യാപ്തമാണ് (ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് /etc/shadow പുനരാലേഖനം ചെയ്യാൻ കഴിയും).

കണ്ടെയ്‌നറിലേക്കോ അതിൽ നിന്നോ ഫയലുകൾ പകർത്താൻ അഡ്മിനിസ്ട്രേറ്റർ “ഡോക്കർ സിപി” കമാൻഡ് എക്‌സിക്യൂട്ട് ചെയ്യുമ്പോൾ മാത്രമേ ആക്രമണം നടത്താൻ കഴിയൂ. അതിനാൽ, ആക്രമണകാരി ഈ പ്രവർത്തനം നടത്തേണ്ടതിന്റെ ആവശ്യകതയെക്കുറിച്ച് ഡോക്കർ അഡ്മിനിസ്ട്രേറ്ററെ എങ്ങനെയെങ്കിലും ബോധ്യപ്പെടുത്തുകയും പകർത്തുമ്പോൾ ഉപയോഗിക്കുന്ന പാത പ്രവചിക്കുകയും ചെയ്യേണ്ടതുണ്ട്. മറുവശത്ത്, ഒരു ആക്രമണം നടത്താം, ഉദാഹരണത്തിന്, "ഡോക്കർ സിപി" കമാൻഡ് ഉപയോഗിച്ച് നിർമ്മിച്ച കോൺഫിഗറേഷൻ ഫയലുകൾ ഒരു കണ്ടെയ്‌നറിലേക്ക് പകർത്തുന്നതിനുള്ള ഉപകരണങ്ങൾ ക്ലൗഡ് സേവനങ്ങൾ നൽകുമ്പോൾ.

ഫംഗ്‌ഷന്റെ പ്രയോഗത്തിലെ പിഴവാണ് പ്രശ്‌നത്തിന് കാരണം SymlinkInScope പിന്തുടരുക, കണ്ടെയ്‌നറിന്റെ സ്ഥാനം കണക്കിലെടുത്ത് ആപേക്ഷിക പാതയെ അടിസ്ഥാനമാക്കി പ്രധാന ഫയൽ സിസ്റ്റത്തിലെ കേവല പാത്ത് കണക്കാക്കുന്നു. "ഡോക്കർ സിപി" കമാൻഡ് എക്സിക്യൂട്ട് ചെയ്യുമ്പോൾ, ഒരു ഹ്രസ്വകാല റേസ് അവസ്ഥ, ഇതിൽ പാത ഇതിനകം പരിശോധിച്ചു, പക്ഷേ പ്രവർത്തനം ഇതുവരെ നടത്തിയിട്ടില്ല. ഹോസ്റ്റ് സിസ്റ്റത്തിന്റെ പ്രധാന ഫയൽ സിസ്റ്റത്തിന്റെ പശ്ചാത്തലത്തിലാണ് പകർത്തൽ നടത്തുന്നത് എന്നതിനാൽ, ഒരു നിശ്ചിത സമയത്തിനുള്ളിൽ, ലിങ്ക് മറ്റൊരു പാത്ത് ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കുന്നതിനും ഡാറ്റയുടെ പകർപ്പ് പുറത്തുള്ള ഫയൽ സിസ്റ്റത്തിലെ ഒരു അനിയന്ത്രിതമായ സ്ഥാനത്തേക്ക് ആരംഭിക്കുന്നതിനും നിങ്ങൾക്ക് കഴിയും. കണ്ടെയ്നർ.

ഒരു റേസ് അവസ്ഥ ഉണ്ടാകാനുള്ള സമയ ജാലകം തയ്യാറാക്കിയതിൽ വളരെ പരിമിതമാണ് പ്രോട്ടോടൈപ്പ് ചൂഷണം ചെയ്യുക ഒരു കണ്ടെയ്‌നറിൽ നിന്ന് പകർപ്പ് പ്രവർത്തനങ്ങൾ നടത്തുമ്പോൾ, കോപ്പി ഓപ്പറേഷനിൽ ഉപയോഗിച്ച പാതയിൽ ഒരു പ്രതീകാത്മക ലിങ്ക് ചാക്രികമായി മാറ്റിസ്ഥാപിക്കുമ്പോൾ 1% ൽ താഴെ കേസുകളിൽ വിജയകരമായ ആക്രമണം നേടാൻ കഴിഞ്ഞു (ഏകദേശം 10 സെക്കൻഡ് ശ്രമങ്ങൾക്ക് ശേഷമാണ് വിജയകരമായ ആക്രമണം നടത്തിയത്. "docker cp" കമാൻഡ് ഉപയോഗിച്ച് ഫയൽ തുടർച്ചയായി ഒരു ലൂപ്പിൽ പകർത്താൻ).

ഒരു കണ്ടെയ്‌നറിലേക്ക് ഒരു കോപ്പി ഓപ്പറേഷൻ നടത്തുന്നതിലൂടെ, ഏതാനും ആവർത്തനങ്ങളിൽ ഹോസ്റ്റ് സിസ്റ്റത്തിൽ നിങ്ങൾക്ക് ആവർത്തിക്കാവുന്ന ഫയൽ ഓവർറൈറ്റ് ആക്രമണം നേടാനാകും. ഒരു കണ്ടെയ്‌നറിലേക്ക് പകർത്തുമ്പോൾ, "chrootarchive" എന്ന ആശയം ഉപയോഗിക്കുന്നതാണ് ആക്രമണത്തിന്റെ സാധ്യത, അതനുസരിച്ച് archive.go പ്രോസസ്സ് ആർക്കൈവ് എക്‌സ്‌ട്രാക്റ്റുചെയ്യുന്നത് കണ്ടെയ്‌നർ റൂട്ടിന്റെ ക്രോട്ടിലേക്കല്ല, മറിച്ച് അതിന്റെ ക്രോട്ടിലേക്കാണ്. ടാർഗെറ്റ് പാതയുടെ പാരന്റ് ഡയറക്‌ടറി, ആക്രമണകാരിയാൽ നിയന്ത്രിക്കപ്പെടുന്നു, കൂടാതെ കണ്ടെയ്‌നറിന്റെ നിർവ്വഹണം നിർത്തുന്നില്ല (റേസ് സാഹചര്യങ്ങൾ ചൂഷണം ചെയ്യുന്നതിനുള്ള ഒരു അടയാളമായി chroot ഉപയോഗിക്കുന്നു).

അവലംബം: opennet.ru