No kit de ferramentas para executar cont\u00eaineres isolados runc, usado no Docker e Kubernetes, foi encontrada a vulnerabilidade CVE-2024-21626, que permite acesso ao sistema de arquivos do ambiente host a partir de um cont\u00eainer isolado. Durante o ataque, um invasor pode sobrescrever alguns arquivos execut\u00e1veis no ambiente host e, assim, conseguir executar seu c\u00f3digo fora do cont\u00eainer. Nos runtimes crun e youki, que utilizam runc, assim como no LXC, o problema n\u00e3o se manifesta. A vulnerabilidade foi corrigida na vers\u00e3o runc 1.1.12. <\/p>\n
No caso de uso de ferramentas como Docker ou Kubernetes, um ataque pode ser realizado por meio da prepara\u00e7\u00e3o de uma imagem de cont\u00eainer especialmente formatada, ap\u00f3s a instala\u00e7\u00e3o e execu\u00e7\u00e3o da qual \u00e9 poss\u00edvel acessar o sistema de arquivos externo a partir do cont\u00eainer. Ao usar o Docker, existe a possibilidade de explora\u00e7\u00e3o por meio de um Dockerfile especialmente configurado. A vulnerabilidade tamb\u00e9m pode ser explorada quando processos s\u00e3o executados no cont\u00eainer pela equipe usando o comando «runc exec» ao vincular o diret\u00f3rio de trabalho ao espa\u00e7o de nome do ambiente host. <\/p>\n
A vulnerabilidade \u00e9 causada pela vazamento de descritores de arquivos internos. Antes de executar o c\u00f3digo dentro do cont\u00eainer no runc, todos os descritores de arquivos s\u00e3o fechados usando a flag O_CLOEXEC. No entanto, ap\u00f3s a execu\u00e7\u00e3o subsequente da fun\u00e7\u00e3o setcwd(), um descritor de arquivo permanece aberto, apontando para o diret\u00f3rio de trabalho e continuando acess\u00edvel ap\u00f3s a inicializa\u00e7\u00e3o do cont\u00eainer. V\u00e1rios cen\u00e1rios b\u00e1sicos de ataque ao ambiente host foram propostos usando o descritor de arquivo remanescente. <\/p>\n
Por exemplo, o invasor pode especificar na imagem do cont\u00eainer o par\u00e2metro process.cwd, que aponta para «\/proc\/self\/fd\/7\/», o que levar\u00e1 \u00e0 vincula\u00e7\u00e3o do diret\u00f3rio de trabalho ao processo pid1 no cont\u00eainer, que reside no espa\u00e7o de montagem do ambiente host. Assim, na imagem do cont\u00eainer, pode-se configurar a execu\u00e7\u00e3o de «\/proc\/self\/fd\/7\/..\/..\/..\/bin\/bash» e, por meio da execu\u00e7\u00e3o de um script shell, sobrescrever o conte\u00fado de «\/proc\/self\/exe», que faz refer\u00eancia \u00e0 c\u00f3pia do host de \/bin\/bash. <\/p>\n
Outra variante do ataque permite que um invasor, restrito dentro do cont\u00eainer, acesse o diret\u00f3rio do ambiente host, se processos privilegiados forem executados no cont\u00eainer usando o comando «runc exec com a op\u00e7\u00e3o «—cwd». O invasor pode redirecionar o caminho do processo a ser executado para um link simb\u00f3lico que aponta para «\/proc\/self\/fd\/7\/» e conseguir abrir «\/proc\/$exec_pid\/cwd» para acessar o sistema de arquivos do host. O invasor tamb\u00e9m pode obter a sobrescrita de arquivos execut\u00e1veis no ambiente host, organizando a execu\u00e7\u00e3o de um arquivo execut\u00e1vel do ambiente host («\/proc\/self\/fd\/7\/..\/..\/..\/bin\/bash») e subsequentemente sobrescrevendo o arquivo «\/proc\/$pid\/exe», que faz refer\u00eancia ao arquivo em execu\u00e7\u00e3o. <\/p>\n
Al\u00e9m disso, foram identificadas mais cinco vulnerabilidades nos componentes da ferramenta Docker: <\/p>\n