Podatności runc

runc to narzędzie CLI do uruchamiania i zarządzania kontenerami zgodnie ze specyfikacją OCI. W wersjach 1.0.0-rc3 do 1.2.7, 1.3.0-rc.1 do 1.3.2 oraz 1.4.0-rc.1 do 1.4.0-rc.2, z powodu niewystarczających kontroli podczas bind-mountowania /dev/pts/$n do /dev/console wewnątrz kontenera, atakujący może...

runc 1.1.13 i wcześniejsze oraz 1.2.0-rc2 i wcześniejsze mogą zostać oszukane do tworzenia pustych plików lub katalogów w dowolnych lokalizacjach w systemie plików hosta poprzez współdzielenie woluminu między dwoma kontenerami i wykorzystanie określonych operacji.

Podatność w runc 1.1.11 i wcześniejszych wynika z wycieku deskryptora pliku, co pozwala atakującemu na ustawienie katalogu roboczego procesu kontenera w przestrzeni nazw systemu plików hosta. Umożliwia to ucieczkę z kontenera i dostęp do systemu plików hosta poprzez polecenia runc exec lub runc run. Dodatkowe warianty ataku pozwalają na nadpisywanie plików binarnych hosta, prowadząc do całkowitej ucieczki z kontenera.

W runc przed wersjami 1.3.6, 1.4.3 i 1.5.0, funkcje setupPtmx i setupDevSymlinks używają filepath.Join z os.Remove i os.Symlink, co pozwala obrazowi z /dev jako dowiązaniem symbolicznym na usunięcie pliku ptmx na hoście lub utworzenie dowiązań symbolicznych w dowolnym katalogu hosta. Pod Dockerem podatność nie jest wykorzystywalna, ale inne narzędzia kontenerowe oparte na runc są narażone.

W runc w wersjach 1.2.7, 1.3.2 i 1.4.0-rc.2 atakujący może nakłonić runc do przekierowania zapisów do /proc na inne pliki procfs poprzez użycie kontenera wyścigowego z współdzielonymi montowaniami. Przekierowanie może odbywać się przez dowiązania symboliczne w tmpfs lub inne metody, takie jak zwykłe bind-mount. Podatność została naprawiona w wersjach 1.2.8, 1.3.3 i 1.4.0-rc.3.

W runc (narzędzie CLI do uruchamiania kontenerów zgodnie ze specyfikacją OCI) w wersjach 1.2.7 i starszych, 1.3.0-rc.1 do 1.3.1, 1.4.0-rc.1 i 1.4.0-rc.2, nie jest wystarczająco weryfikowane, czy źródło bind-mount (np. /dev/null kontenera) jest prawdziwym i-node /dev/null. Umożliwia to ataki: dowolny mount gadget, prowadzący do ujawnienia informacji o hoście, DoS hosta, ucieczki z kontenera lub obejścia maskedPaths.