CRI-O ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਜੋ ਹੋਸਟ ਵਾਤਾਵਰਨ ਤੱਕ ਰੂਟ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ

CRI-O ਵਿੱਚ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਕਮਜ਼ੋਰੀ (CVE-2022-0811) ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ, ਜੋ ਕਿ ਆਈਸੋਲੇਟਡ ਕੰਟੇਨਰਾਂ ਦੇ ਪ੍ਰਬੰਧਨ ਲਈ ਇੱਕ ਰਨਟਾਈਮ ਹੈ, ਜੋ ਹੋਸਟ ਸਿਸਟਮ 'ਤੇ ਆਈਸੋਲੇਟਡ ਬਾਈਪਾਸ ਅਤੇ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਜੇਕਰ ਕੰਟੇਨਰ ਅਤੇ ਡੌਕਰ ਦੀ ਬਜਾਏ CRI-O ਦੀ ਵਰਤੋਂ ਕੁਬਰਨੇਟਸ ਪਲੇਟਫਾਰਮ 'ਤੇ ਚੱਲ ਰਹੇ ਕੰਟੇਨਰਾਂ ਨੂੰ ਲਾਂਚ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਹਮਲਾਵਰ ਕੁਬਰਨੇਟਸ ਕਲੱਸਟਰ ਵਿੱਚ ਕਿਸੇ ਵੀ ਨੋਡ ਦਾ ਨਿਯੰਤਰਣ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦਾ ਹੈ। ਹਮਲੇ ਲਈ ਕੁਬਰਨੇਟਸ ਕਲੱਸਟਰ ਵਿੱਚ ਇੱਕ ਕੰਟੇਨਰ ਲਾਂਚ ਕਰਨ ਲਈ ਸਿਰਫ਼ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ।

ਇਹ ਕਮਜ਼ੋਰੀ ਕਰਨਲ sysctl ਪੈਰਾਮੀਟਰ "kernel.core_pattern" (/proc/sys/kernel/core_pattern) ਨੂੰ ਸੋਧਣ ਦੀ ਯੋਗਤਾ ਕਾਰਨ ਹੁੰਦੀ ਹੈ, ਜਿਸ ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਬਲੌਕ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਸੀ, ਇਸ ਤੱਥ ਦੇ ਬਾਵਜੂਦ ਕਿ ਇਹ ਸੁਰੱਖਿਅਤ-ਤੋਂ-ਸੋਧਣ ਵਾਲੇ ਪੈਰਾਮੀਟਰਾਂ ਵਿੱਚੋਂ ਨਹੀਂ ਹੈ ਜੋ ਸਿਰਫ ਮੌਜੂਦਾ ਕੰਟੇਨਰ ਦੇ ਨੇਮਸਪੇਸ ਵਿੱਚ ਵੈਧ ਹਨ। ਇਸ ਪੈਰਾਮੀਟਰ ਦੀ ਵਰਤੋਂ ਕਰਕੇ, ਕੰਟੇਨਰ ਦੇ ਅੰਦਰ ਇੱਕ ਉਪਭੋਗਤਾ ਕਰਨਲ ਵਿਵਹਾਰ ਨੂੰ ਬਦਲ ਸਕਦਾ ਹੈ। Linux ਹੋਸਟ ਵਾਤਾਵਰਣ ਵਾਲੇ ਪਾਸੇ ਕੋਰ ਫਾਈਲਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਦੇ ਸੰਬੰਧ ਵਿੱਚ ਅਤੇ "|/bin/sh -c 'ਕਮਾਂਡ'" ਕਿਸਮ ਦੇ ਇੱਕ ਹੈਂਡਲਰ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਕੇ ਹੋਸਟ ਵਾਲੇ ਪਾਸੇ ਰੂਟ ਅਧਿਕਾਰਾਂ ਨਾਲ ਇੱਕ ਆਰਬਿਟਰਰੀ ਕਮਾਂਡ ਦੀ ਸ਼ੁਰੂਆਤ ਦਾ ਪ੍ਰਬੰਧ ਕਰੋ।

ਇਹ ਮੁੱਦਾ CRI-O 1.19.0 ਤੋਂ ਮੌਜੂਦ ਹੈ ਅਤੇ ਇਸਨੂੰ ਅੱਪਡੇਟ 1.19.6, 1.20.7, 1.21.6, 1.22.3, 1.23.2, ਅਤੇ 1.24.0 ਵਿੱਚ ਹੱਲ ਕੀਤਾ ਗਿਆ ਹੈ। ਪ੍ਰਭਾਵਿਤ ਖਾਸ ਵੰਡਾਂ ਵਿੱਚ Red Hat OpenShift ਕੰਟੇਨਰ ਪਲੇਟਫਾਰਮ ਅਤੇ openSUSE/SUSE ਸ਼ਾਮਲ ਹਨ, ਜਿਨ੍ਹਾਂ ਵਿੱਚ ਉਹਨਾਂ ਦੀਆਂ ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ cri-o ਪੈਕੇਜ ਹੁੰਦਾ ਹੈ।

ਸਰੋਤ: opennet.ru