{"id":103483,"date":"2022-03-06T15:36:45","date_gmt":"2022-03-06T13:36:47","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera"},"modified":"2022-03-06T15:36:45","modified_gmt":"2022-03-06T13:36:47","slug":"uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera","title":{"rendered":"Kwetsbaarheid in cgroups v1, waardoor het mogelijk is om uit een ge\u00efsoleerde container te ontsnappen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Details of the vulnerability (CVE-2022-0492) in the implementation of the resource limitation mechanism cgroups v1 in the Linux kernel have been revealed, which can be used to escape isolated containers. The issue manifests itself starting from Linux kernel 2.6.24 and has been fixed in kernel releases 5.16.12, 5.15.26, 5.10.97, 5.4.177, 4.19.229, 4.14.266, and 4.9.301. One can track the publication of package updates in distributions on these pages: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux. <\/p>\n
De kwetsbaarheid wordt veroorzaakt door een logische fout in de bestandsverwerker release_agent, waardoor de juiste controles niet werden uitgevoerd bij het starten van de verwerker met een volledige set bevoegdheden. Het bestand release_agent wordt gebruikt om het programma te bepalen dat door de kernel wordt uitgevoerd bij het be\u00ebindigen van een proces in de cgroup. Dit programma wordt uitgevoerd met root-rechten en met alle «capabilities» in de rootnamenruimte. Men veronderstelde dat alleen de beheerder toegang had tot de configuratie van release_agent, maar in werkelijkheid waren de controles beperkt tot het verlenen van toegang aan de root-gebruiker, wat niet uitsloot dat configuratiewijzigingen vanuit een container of door de root-gebruiker zonder beheerderstoegang (CAP_SYS_ADMIN) konden plaatsvinden. <\/p>\n
Previously, such a feature would not have been perceived as a vulnerability, but the situation changed with the emergence of user ID namespaces, which allow the creation of separate root users in containers that do not overlap with the root user of the main environment. Consequently, to launch an attack, it is sufficient to connect one\u2019s own release_agent handler in a container that has its own root user in a separate user ID namespace, which will then be executed with full privileges of the main environment after the process concludes. <\/p>\n
By default, cgroupfs is mounted in the container in read-only mode, but there is no problem remounting this pseudo-fs in write mode if one has CAP_SYS_ADMIN rights or by creating an inner container with a separate user namespace using the unshare syscall, in which the CAP_SYS_ADMIN rights are accessible for the created container.
<\/center> <\/p>\n
Een aanval kan worden uitgevoerd met root-rechten in een ge\u00efsoleerde container of wanneer de container wordt uitgevoerd zonder de no_new_privs-vlag die het verkrijgen van aanvullende privileges verbiedt. De ondersteuning voor user namespaces moet in het systeem zijn ingeschakeld (standaard ingeschakeld in Ubuntu en Fedora, maar niet geactiveerd in Debian en RHEL) en er moet toegang zijn tot de root cgroup v1 (bijvoorbeeld Docker draait containers in de root RDMA cgroup). Een aanval is ook mogelijk met CAP_SYS_ADMIN-rechten, waarbij ondersteuning voor user namespaces en toegang tot de root cgroup v1-hi\u00ebrarchie niet vereist zijn. <\/p>\n
Naast het verlaten van de ge\u00efsoleerde container stelt de kwetsbaarheid ook processen, uitgevoerd door de root-gebruiker zonder «capabilities» of door een gebruiker met CAP_DAC_OVERRIDE-rechten, in staat om toegang te krijgen tot alle systeem «capabilities» (voor de aanval is toegang tot het bestand \/sys\/fs\/cgroup\/*\/release_agent nodig, dat eigendom is van root). <\/p>\n
![\"Kwetsbaarheid](\"\/wp-content\/uploads\/2022\/03\/710b37582c444cc4be7d6ae4695c8afe.jpg\")
<\/center> <\/p>\n