In CRI-O, de runtime voor het beheren van geĆÆsoleerde containers, is een kritieke kwetsbaarheid ontdekt (CVE-2022-0811) die het mogelijk maakt om de isolatie te omzeilen en eigen code op de host-systeem uit te voeren. Wanneer CRI-O in plaats van containerd en Docker wordt gebruikt voor het opstarten van containers die draaien op het Kubernetes-platform, kan een aanvaller controle krijgen over elke node in het Kubernetes-cluster. Voor het uitvoeren van de aanval zijn alleen de rechten nodig om zijn eigen container in het Kubernetes-cluster te draaien.
De kwetsbaarheid wordt veroorzaakt door de mogelijkheid om de sysctl-kernelparameter "kernel.core_pattern" ("/proc/sys/kernel/core_pattern") te wijzigen, waarvoor de toegang niet werd geblokkeerd, hoewel deze niet behoort tot de veilige parameters die alleen binnen de naamruimte van de huidige container kunnen worden gewijzigd. Met deze parameter kan een gebruiker vanuit de container het gedrag van de Linux-kernel met betrekking tot core-bestanden op de hostomgeving wijzigen en een willekeurige opdracht met root-rechten op de host uitvoeren door een handler zoals "|/bin/sh -c 'opdrachten'" op te geven.
Het probleem doet zich voor vanaf de release CRI-O 1.19.0 en is opgelost in de updates 1.19.6, 1.20.7, 1.21.6, 1.22.3, 1.23.2 en 1.24.0. In de distributies komt het probleem voor in de producten Red Hat OpenShift Container Platform en openSUSE/SUSE, waar in de repositories een cri-o-pakket beschikbaar is.
Bron: opennet.ru
