{"id":103483,"date":"2022-03-06T15:36:45","date_gmt":"2022-03-06T13:36:47","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera"},"modified":"2022-03-06T15:36:45","modified_gmt":"2022-03-06T13:36:47","slug":"uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/uyazvimost-v-cgroups-v1-pozvolyayushhaya-vyjti-iz-izolirovannogo-kontejnera","title":{"rendered":"S\u00e5rbarhet i cgroups v1 som m\u00f6jligg\u00f6r att man kan g\u00e5 ut fr\u00e5n en isolerad container","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Detaljer om s\u00e5rbarheten (CVE-2022-0492) i implementeringen av resursbegr\u00e4nsningsmekanismen cgroups v1 i Linux-k\u00e4rnan har avsl\u00f6jats, vilket kan anv\u00e4ndas f\u00f6r att ta sig ut fr\u00e5n isolerade containrar. Problemet uppstod med Linux-k\u00e4rnan 2.6.24 och har \u00e5tg\u00e4rdats i k\u00e4rnversionerna 5.16.12, 5.15.26, 5.10.97, 5.4.177, 4.19.229, 4.14.266 och 4.9.301. Man kan f\u00f6lja publiceringen av paketuppdateringar i distributionerna p\u00e5 dessa sidor: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux. <\/p>\n
S\u00e5rbarheten orsakas av ett logiskt fel i filhanteraren release_agent, vilket hindrade korrekta kontroller vid k\u00f6rning av hanteraren med fullst\u00e4ndiga befogenheter. Filen release_agent anv\u00e4nds f\u00f6r att definiera programmet som k\u00e4rnan k\u00f6r n\u00e4r en process avslutas i cgroup. Detta program k\u00f6rs med root-beh\u00f6righeter och med alla \"capabilities\" i det root-namespacet. Det f\u00f6rv\u00e4ntades att endast administrat\u00f6rer skulle ha tillg\u00e5ng till inst\u00e4llningen release_agent, men i praktiken begr\u00e4nsades kontrollerna till att ge root-anv\u00e4ndaren tillg\u00e5ng, vilket inte utesl\u00f6t att inst\u00e4llningen kunde \u00e4ndras fr\u00e5n en container eller av root-anv\u00e4ndare utan administrat\u00f6rsr\u00e4ttigheter (CAP_SYS_ADMIN). <\/p>\n
Tidigare skulle en s\u00e5dan funktionalitet inte betraktas som en s\u00e5rbarhet, men situationen har f\u00f6r\u00e4ndrats med introduktionen av anv\u00e4ndarnamnrymder (user namespaces), som m\u00f6jligg\u00f6r skapande av separata root-anv\u00e4ndare i containrar, vilka inte \u00f6verlappar med root-anv\u00e4ndaren i det huvudsakliga systemet. D\u00e4rf\u00f6r \u00e4r det tillr\u00e4ckligt att i en container, som har sin egen root-anv\u00e4ndare i en separat anv\u00e4ndarnamnrymd, ansluta sin egen release_agent-hanterare, som efter avslutningen av processen kommer att k\u00f6ras med fulla privilegier i den huvudsakliga milj\u00f6n. <\/p>\n
Som standard monteras cgroupfs i containern i skrivskyddat l\u00e4ge, men det finns inga problem med att \u00e5termontera denna pseudofilsystem i skrivl\u00e4ge om man har r\u00e4ttigheterna CAP_SYS_ADMIN eller genom att skapa en inre container med en separat anv\u00e4ndarnamnrymd med systemanropet unshare, d\u00e4r r\u00e4ttigheterna CAP_SYS_ADMIN \u00e4r tillg\u00e4ngliga f\u00f6r den skapade containern.
<\/center> <\/p>\n
En attack kan utf\u00f6ras med root-beh\u00f6righeter i en isolerad container eller n\u00e4r containern k\u00f6rs utan flaggan no_new_privs, som f\u00f6rhindrar att ytterligare privilegier erh\u00e5lls. St\u00f6det f\u00f6r anv\u00e4ndarnamespaces m\u00e5ste vara aktiverat i systemet (som standard aktiverat i Ubuntu och Fedora, men inte aktiverat i Debian och RHEL) och det m\u00e5ste finnas tillg\u00e5ng till den rotade cgroup v1 (till exempel k\u00f6r Docker containrar i den rotade RDMA cgroup). En attack \u00e4r ocks\u00e5 m\u00f6jlig med privilegiet CAP_SYS_ADMIN, i vilket fall st\u00f6det f\u00f6r anv\u00e4ndarnamespaces och tillg\u00e5ng till den rotade cgroup v1-hierarkin inte kr\u00e4vs. <\/p>\n
F\u00f6rutom att f\u00e5 utg\u00e5ng fr\u00e5n den isolerade containern g\u00f6r s\u00e5rbarheten det ocks\u00e5 m\u00f6jligt f\u00f6r processer som k\u00f6rs av root-anv\u00e4ndaren utan \"capabilities\" eller vilken anv\u00e4ndare som helst med CAP_DAC_OVERRIDE-r\u00e4ttigheter (f\u00f6r att genomf\u00f6ra attacken kr\u00e4vs tillg\u00e5ng till filen \/sys\/fs\/cgroup\/*\/release_agent, som tillh\u00f6r root) att f\u00e5 tillg\u00e5ng till alla systemens \"capabilities\". <\/p>\n
![\"S\u00e5rbarhet](\"\/wp-content\/uploads\/2022\/03\/710b37582c444cc4be7d6ae4695c8afe.jpg\")
<\/center> <\/p>\n