No CRI-O, runtime para gerenciamento de containers isolados, foi identificada uma vulnerabilidade crítica (CVE-2022-0811) que permite contornar a isolação e executar seu código no sistema host. Ao usar CRI-O em vez de containerd e Docker para gerenciar a execução de containers sob a plataforma Kubernetes, um atacante pode obter controle sobre qualquer nó no cluster Kubernetes. Para conduzir o ataque, são necessários apenas permissões para executar seu container no cluster Kubernetes.
A vulnerabilidade é causada pela possibilidade de alterar o parâmetro sysctl do núcleo "kernel.core_pattern" ("/proc/sys/kernel/core_pattern"), acesso ao qual não foi bloqueado, apesar de não ser um dos parâmetros seguros para modificação, aplicáveis apenas no espaço de nomes do container atual. Com este parâmetro, o usuário de dentro do container pode alterar o comportamento do núcleo do Linux em relação ao processamento de arquivos core no ambiente host e organizar a execução de um comando arbitrário com permissões de root no host, especificando um manipulador do tipo "|/bin/sh -c 'comandos'".
O problema se manifesta a partir do lançamento do CRI-O 1.19.0 e foi corrigido nas atualizações 1.19.6, 1.20.7, 1.21.6, 1.22.3, 1.23.2 e 1.24.0. Nos distribuições, o problema se manifesta em produtos como o Red Hat OpenShift Container Platform e openSUSE/SUSE, nos repositórios dos quais há o pacote cri-o.
Fonte: opennet.ru
