डकरमा जोखिम जसले तपाईंलाई कन्टेनरबाट उम्कन अनुमति दिन्छ

पृथक Linux डकर कन्टेनरहरू व्यवस्थापन गर्ने टुलकिटमा पहिचान गरियो जोखिम (CVE-2018-15664), जसले निश्चित परिस्थितिहरूमा कन्टेनरबाट होस्ट वातावरणमा पहुँच गर्न अनुमति दिन्छ जब प्रणालीमा यसको छविहरू चलाउने क्षमता हुन्छ वा चलिरहेको कन्टेनर पहुँच गर्दा। समस्या डकरका सबै संस्करणहरूमा हुन्छ र समाधान नभएको रहन्छ (प्रस्तावित, तर अझै स्वीकृत भएको छैन, प्याच, जसले FS सँग सञ्चालनको कार्यान्वयनको क्रममा कन्टेनरको सञ्चालनको निलम्बन लागू गर्दछ)।

"docker cp" आदेश कार्यान्वयन गर्दा जोखिमले कन्टेनरबाट होस्ट प्रणालीको FS को मनमानी भागमा फाइलहरू निकाल्न अनुमति दिन्छ। फाइलहरू निकाल्ने काम रूट विशेषाधिकारहरूसँग गरिन्छ, जसले होस्ट वातावरणमा कुनै पनि फाइलहरू पढ्न वा लेख्न सम्भव बनाउँछ, जुन होस्ट प्रणालीमा नियन्त्रण प्राप्त गर्न पर्याप्त छ (उदाहरणका लागि, तपाईं /etc/shadow पुन: लेख्न सक्नुहुन्छ)।

आक्रमण तब मात्र गर्न सकिन्छ जब प्रशासकले कन्टेनरमा वा कन्टेनरबाट फाइलहरू प्रतिलिपि गर्न "docker cp" आदेश कार्यान्वयन गर्दछ। यसरी, आक्रमणकारीले कुनै न कुनै रूपमा डकर प्रशासकलाई यो अपरेशन गर्न र प्रतिलिपि गर्न प्रयोग गरिएको मार्गको भविष्यवाणी गर्न आवश्यक छ भनेर विश्वस्त पार्नु पर्छ। अर्कोतर्फ, आक्रमण गर्न सकिन्छ, उदाहरणका लागि, जब क्लाउड सेवाहरूले "docker cp" आदेश प्रयोग गरेर निर्मित कन्टेनरमा कन्फिगरेसन फाइलहरू प्रतिलिपि गर्न उपकरणहरू प्रदान गर्दछ।

यो समस्या प्रकार्यको प्रयोगमा त्रुटिको कारणले भएको हो। SymlinkInScope लाई पछ्याउनुहोस्, जसले कन्टेनरको स्थानलाई ध्यानमा राख्दै, सापेक्षिक मार्गको आधारमा मुख्य FS मा निरपेक्ष मार्ग गणना गर्दछ। "docker cp" आदेशको कार्यान्वयनको क्रममा छोटो पज हुन्छ। दौड अवस्था, जसमा मार्ग पहिले नै जाँच गरिएको छ, तर सञ्चालन अझै गरिएको छैन। प्रतिलिपि गर्ने काम होस्ट प्रणालीको मुख्य FS को सन्दर्भमा गरिएको हुनाले, तोकिएको समय अवधिमा अर्को मार्गमा लिङ्क प्रतिस्थापन गर्न र कन्टेनर बाहिर फाइल प्रणालीमा मनमानी स्थानमा डेटा प्रतिलिपि गर्न सुरु गर्न सम्भव छ।

दौडको अवस्था प्रकट हुनको लागि समय सीमा तयार अवस्थामा धेरै सीमित भएकोले प्रोटोटाइप शोषण कन्टेनरबाट प्रतिलिपि सञ्चालन गर्दा, प्रतिलिपि सञ्चालनमा प्रयोग गरिएको मार्गमा प्रतीकात्मक लिङ्कलाई चक्रीय रूपमा प्रतिस्थापन गरेर १% भन्दा कम अवस्थामा सफल आक्रमण प्राप्त गर्न सम्भव थियो ("डकर सीपी" आदेशको साथ लूपमा फाइल प्रतिलिपि गर्ने प्रयास गरेको लगभग १० सेकेन्ड पछि सफल आक्रमण गरिएको थियो)।

कन्टेनरमा प्रतिलिपि अपरेशन गर्दा, होस्ट प्रणालीमा फाइललाई केही पुनरावृत्तिहरूमा ओभरराइट गर्न दोहोरिने आक्रमण प्राप्त गर्न सम्भव छ। आक्रमण सम्भव छ किनभने कन्टेनरमा प्रतिलिपि गर्दा "chrootarchive" अवधारणा प्रयोग गरिन्छ, जस अनुसार archive.go प्रक्रियाले अभिलेखलाई कन्टेनर रूटको chroot मा होइन, तर आक्रमणकारीद्वारा नियन्त्रित लक्ष्य मार्गको अभिभावक निर्देशिकाको chroot मा निकाल्छ, र कन्टेनरको कार्यान्वयन रोक्दैन (chroot लाई दौड अवस्थाको शोषणको लागि संकेतको रूपमा प्रयोग गरिन्छ)।

स्रोत: opennet.ru