Sårbarhet i Docker som tillåter att man kommer ut ur containern

I verktyget för hantering av isolerade Linux-containrar Docker upptäcktes sårbarhet (CVE-2018-15664), vilket i vissa situationer tillåter åtkomst till värdmiljön från containern när det finns möjlighet att köra egna bilder i systemet eller vid åtkomst till den körande containern. Problemet förekommer i alla versioner av Docker och förblir oåtgärdat (ett förslag har lagts fram, men har ännu inte antagits, patch, som implementerar paus av container-arbeid under operationer med FS).

Sårbarheten möjliggör att filer extraheras från containern till en godtycklig del av värd-systemets FS när kommandot „docker cp“ utförs. Filextraktionen sker med root-rättigheter, vilket gör det möjligt att läsa eller skriva vilken fil som helst i värdmiljön, vilket är tillräckligt för att få kontroll över värd-systemet (till exempel kan man skriva över /etc/shadow).

Attacken kan endast genomföras när administratören kör kommandot „docker cp“ för att kopiera filer till containern eller från den. Således måste angriparen på något sätt övertyga Docker-administratören om behovet av att utföra denna åtgärd och förutse den väg som används vid kopieringen. Å andra sidan kan attacken genomföras, till exempel vid leverans av tjänster från molnleverantörer för att kopiera konfigurationsfiler till containern, byggda med hjälp av kommandot „docker cp“.

Problemet orsakas av en brist i tillämpningen av funktionen FollowSymlinkInScope, som beräknar den absoluta sökvägen i huvud FS baserat på den relativa sökvägen, som tar hänsyn till platsen för containern. Under körningen av kommandot „docker cp“ uppstår ett kortvarigt tillstånd av kapplöpning, där sökvägen redan har kontrollerats men åtgärden ännu inte har utförts. Eftersom kopieringen görs i kontexten av värd-systemets huvud FS kan det under denna tidsperiod lyckas byta ut länken mot en annan väg och initiera kopieringen av data till en godtycklig plats i filsystemet utanför containern.

Eftersom det tidsfönster där tillståndet av kapplöpning uppträder är mycket begränsat i den beredda prototypen av exploiten Vid kopiering från containern lyckades man genomföra en framgångsrik attack i mindre än 1% av fallen genom cyklisk ersättning av den symboliska länken i sökvägen som användes vid kopieringsoperationen (den framgångsrika attacken genomfördes efter ungefär 10 sekunders kontinuerliga försök att kopiera filen med kommandot "docker cp").

Vid kopieringsoperationen till containern kan en upprepbar attack för att skriva över en fil i värdsystemet uppnås på bara några iterationer. Attackmöjligheten är kopplad till att det vid kopiering till containern tillämpas konceptet "chrootarchive", i enlighet med vilket processen archive.go extraherar arkivet inte i chroot-rotkatalogen för containern, utan i chroot för föräldrakatalogen till den målsökväg som kontrolleras av angriparen och inte stoppar körningen av containern (chroot används som en indikator för att utnyttja ett kapplöpningsvillkor).

Källa: opennet.ru