🥇 कन्टेनर बाहिर फाइल प्रणालीमा पहुँच अनुमति दिने runc मा जोखिम

डकर र कुबर्नेट्समा आइसोलेटेड कन्टेनरहरू सुरु गर्न प्रयोग गरिने उपकरण, runc मा एउटा भेद्यता (CVE-2021-30465) पत्ता लागेको छ। यो भेद्यताले कन्टेनर भित्रबाट अन्तर्निहित होस्ट फाइल प्रणालीमा पहुँच गर्न अनुमति दिन्छ। प्रतीकात्मक लिङ्कहरू हेरफेर गरेर, एउटा देखिने निर्दोष कन्टेनर कन्फिगरेसन सिर्जना गर्न सकिन्छ जसले कन्टेनर भित्र बाह्य फाइल प्रणालीको बाइन्ड माउन्टिंगमा परिणाम दिन्छ। यो समस्या runc 1.0.0-rc95 मा समाधान गरिएको छ।

यो जोखिमको फाइदा उठाउन, आक्रमणकारीले कन्फिगरेसनमा अतिरिक्त माउन्ट पोइन्टहरू भएका कन्टेनरहरू सुरु गर्न सक्षम हुनुपर्छ (उदाहरणका लागि, यो समस्या कुबर्नेट्स-आधारित वातावरणमा पुन: उत्पादन गर्न सकिन्छ जहाँ प्रयोगकर्ताहरूले आफ्नै कन्टेनरहरू सुरु गर्न सक्छन्)। अन्य कन्टेनरहरूसँग साझा गरिएका विभाजनहरूमा माउन्ट पोइन्टहरू जाँच गर्ने र प्रयोग गर्ने बीचको समय विन्डोको कारणले गर्दा, आक्रमणकारीले कन्टेनर लन्चको समयमा दौड अवस्थाको शोषण गर्न सक्छ र कन्टेनर माउन्ट गर्न प्रयोग गरिएको डाइरेक्टरीलाई कन्टेनरको रूट फाइल प्रणाली बाहिरको क्षेत्रमा औंल्याउने प्रतीकात्मक लिङ्कले बदल्न सक्छ।

स्रोत: opennet.ru

कन्टेनर बाहिर FS मा पहुँच अनुमति दिने runc मा जोखिम