{"id":103483,"date":"2022-03-06T15:36:45","date_gmt":"2022-03-06T13:36:47","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera"},"modified":"2022-03-06T15:36:45","modified_gmt":"2022-03-06T13:36:47","slug":"uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera","title":{"rendered":"Vulnerabilidade nos cgroups v1 que permite escapar de um cont\u00eainer isolado","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Reveladas as detalhes da vulnerabilidade (CVE-2022-0492) na implementa\u00e7\u00e3o do mecanismo de limita\u00e7\u00e3o de recursos cgroups v1 no n\u00facleo Linux, que pode ser explorada para sair de cont\u00eaineres isolados. O problema se manifesta a partir do n\u00facleo Linux 2.6.24 e foi corrigido nas vers\u00f5es do n\u00facleo 5.16.12, 5.15.26, 5.10.97, 5.4.177, 4.19.229, 4.14.266 e 4.9.301. \u00c9 poss\u00edvel acompanhar a publica\u00e7\u00e3o de atualiza\u00e7\u00f5es de pacotes nas distribui\u00e7\u00f5es nas seguintes p\u00e1ginas: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux. <\/p>\n
A vulnerabilidade \u00e9 causada por um erro l\u00f3gico no manipulador de arquivos release_agent, que n\u00e3o realizava as verifica\u00e7\u00f5es adequadas ao iniciar o manipulador com um conjunto completo de permiss\u00f5es. O arquivo release_agent \u00e9 usado para determinar o programa que o n\u00facleo executa ao finalizarem os processos em cgroup. Este programa \u00e9 executado com privil\u00e9gios de root e com todas as \"capabilities\" no espa\u00e7o de nomes raiz. Supunha-se que apenas o administrador tinha acesso \u00e0 configura\u00e7\u00e3o do release_agent, mas, na pr\u00e1tica, as verifica\u00e7\u00f5es se limitavam a conceder acesso ao usu\u00e1rio root, o que n\u00e3o impedia a modifica\u00e7\u00e3o da configura\u00e7\u00e3o a partir de um cont\u00eainer ou por um usu\u00e1rio root sem direitos administrativos (CAP_SYS_ADMIN). <\/p>\n
Anteriormente, tal caracter\u00edstica n\u00e3o teria sido percebida como uma vulnerabilidade, mas a situa\u00e7\u00e3o mudou com a introdu\u00e7\u00e3o dos espa\u00e7os de nomes de identificadores de usu\u00e1rios (user namespaces), que permitem criar cont\u00eaineres com usu\u00e1rios root distintos, n\u00e3o sobrepondo-se ao usu\u00e1rio root do ambiente principal. Assim, para a ataque, \u00e9 suficiente que, em um cont\u00eainer que possui seu pr\u00f3prio usu\u00e1rio root em um espa\u00e7o de identificadores de usu\u00e1rios separado, o manipulador release_agent seja conectado, que ser\u00e1 executado com total privil\u00e9gio no ambiente principal ap\u00f3s o t\u00e9rmino do processo. <\/p>\n
Por padr\u00e3o, o cgroupfs \u00e9 montado no cont\u00eainer em modo somente leitura, mas n\u00e3o h\u00e1 problema em re-montar este pseudo-sistema de arquivos em modo de escrita com a permiss\u00e3o CAP_SYS_ADMIN ou atrav\u00e9s da cria\u00e7\u00e3o, utilizando a chamada de sistema unshare, de um cont\u00eainer interno com um espa\u00e7o de nomes de usu\u00e1rio separado, no qual os direitos CAP_SYS_ADMIN est\u00e3o dispon\u00edveis para o cont\u00eainer criado.
<\/center> <\/p>\n
Um ataque pode ser realizado com privil\u00e9gios de root em um cont\u00eainer isolado ou ao iniciar o cont\u00eainer sem a flag no_new_privs, que pro\u00edbe a obten\u00e7\u00e3o de privil\u00e9gios adicionais. O suporte a namespaces de usu\u00e1rios deve estar ativado no sistema (ativado por padr\u00e3o no Ubuntu e Fedora, mas n\u00e3o ativado no Debian e RHEL) e deve haver acesso ao cgroup raiz v1 (por exemplo, o Docker executa cont\u00eaineres no cgroup RDMA raiz). O ataque tamb\u00e9m \u00e9 poss\u00edvel com privil\u00e9gios CAP_SYS_ADMIN, caso em que o suporte a namespaces de usu\u00e1rios e o acesso \u00e0 hierarquia raiz do cgroup v1 n\u00e3o s\u00e3o necess\u00e1rios. <\/p>\n
Al\u00e9m de permitir a sa\u00edda de um cont\u00eainer isolado, a vulnerabilidade tamb\u00e9m permite que processos executados por um usu\u00e1rio root sem \"capabilities\" ou qualquer usu\u00e1rio com direitos CAP_DAC_OVERRIDE (para atacar, \u00e9 necess\u00e1rio acesso ao arquivo \/sys\/fs\/cgroup\/*\/release_agent, que pertence ao root) acessem todas as \"capabilities\" do sistema. <\/p>\n
![\"Vulnerabilidade](\"\/wp-content\/uploads\/2022\/03\/710b37582c444cc4be7d6ae4695c8afe.jpg\")
<\/center> <\/p>\n