I verktyget f\u00f6r att k\u00f6ra isolerade beh\u00e5llare, runc, som anv\u00e4nds i Docker och Kubernetes, har en s\u00e5rbarhet identifierats, CVE-2024-21626, som m\u00f6jligg\u00f6r \u00e5tkomst till filsystemet i v\u00e4rdmilj\u00f6n fr\u00e5n en isolerad beh\u00e5llare. Under en attack kan en angripare skriva \u00f6ver vissa k\u00f6rbara filer i v\u00e4rdmilj\u00f6n och d\u00e4rigenom f\u00e5 utf\u00f6rt sin kod utanf\u00f6r beh\u00e5llaren. I runtime-verktygen crun och youki, som anv\u00e4nder runc, samt i LXC, upptr\u00e4der inte problemet. S\u00e5rbarheten har \u00e5tg\u00e4rdats i version 1.1.12 av runc. <\/p>\n
Vid anv\u00e4ndning av Docker- eller Kubernetes-verktyg kan en attack utf\u00f6ras genom att f\u00f6rbereda en specifikt utformad containerbild, efter installation och start av vilken man kan komma \u00e5t extern filsystem fr\u00e5n containern. Vid anv\u00e4ndning av Docker finns det m\u00f6jlighet till utnyttjande genom en specifikt utformad Dockerfile. S\u00e5rbarheten kan ocks\u00e5 utnyttjas vid k\u00f6rning av processer i containern med kommandot «runc exec» genom att koppla arbetskatalogen till v\u00e4rdmilj\u00f6ns namnrymd. <\/p>\n
S\u00e5rbarheten orsakas av l\u00e4ckage av interna filbeskrivare. Innan koden k\u00f6rs inuti beh\u00e5llaren st\u00e4nger runc alla filbeskrivare med hj\u00e4lp av flaggan O_CLOEXEC. Trots detta f\u00f6rblir en filbeskrivare, som pekar p\u00e5 arbetskatalogen, \u00f6ppen efter att funktionen setcwd() har k\u00f6rts, vilket g\u00f6r den tillg\u00e4nglig \u00e4ven efter att beh\u00e5llaren har startats. Flera grundl\u00e4ggande attackscenarier mot v\u00e4rdmilj\u00f6n har f\u00f6reslagits med hj\u00e4lp av den \u00e5terst\u00e5ende filbeskrivaren. <\/p>\n
Till exempel kan en angripare ange parameter process.cwd i containerbilden, vilket pekar p\u00e5 «\\\/proc\\\/self\\\/fd\\\/7\\\/», vilket kommer att koppla arbetskatalogen till process pid1 i containern, som ligger i monteringsutrymmet f\u00f6r v\u00e4rdmilj\u00f6n. P\u00e5 s\u00e5 s\u00e4tt kan man i containerbilden konfigurera att «\\\/proc\\\/self\\\/fd\\\/7\\\/..\\\/..\\\/..\\\/bin\\\/bash» startar, och genom att k\u00f6ra ett shell-skript skriva \u00f6ver inneh\u00e5llet i «\\\/proc\\\/self\\\/exe», vilket h\u00e4nvisar till v\u00e4rdkopian av \\\/bin\\\/bash. <\/p>\n
Ett annat angreppss\u00e4tt g\u00f6r det m\u00f6jligt f\u00f6r en angripare, begr\u00e4nsad inom containern, att f\u00e5 \u00e5tkomst till v\u00e4rdmilj\u00f6ns katalog om privilegierade processer k\u00f6rs inom den angivna containern med kommandot «runc exec med alternativet «--cwd». Angriparen kan ers\u00e4tta s\u00f6kv\u00e4gen f\u00f6r den k\u00f6rda processen med en symbolisk l\u00e4nk som pekar p\u00e5 «\\\/proc\\\/self\\\/fd\\\/7\\\/» och lyckas \u00f6ppna «\\\/proc\\\/$exec_pid\\\/cwd» f\u00f6r att f\u00e5 \u00e5tkomst till filsystemet p\u00e5 v\u00e4rdsidan. Angriparen kan ocks\u00e5 lyckas skriva \u00f6ver k\u00f6rbara filer p\u00e5 v\u00e4rdsidan genom att organisera k\u00f6rningen av en k\u00f6rbar fil fr\u00e5n v\u00e4rdmilj\u00f6n («\\\/proc\\\/self\\\/fd\\\/7\\\/..\\\/..\\\/..\\\/bin\\\/bash») med efterf\u00f6ljande skrivning av filen «\\\/proc\\\/$pid\\\/exe», som h\u00e4nvisar till den k\u00f6rda filen. <\/p>\n
Dessutom har ytterligare fem s\u00e5rbarheter uppt\u00e4ckts i komponenterna av Docker-verktygen: <\/p>\n