Категория > Новости > Уязвимость в runC угрожает безопасности Docker, Kubernetes и не только - «Новости»

Уязвимость в runC угрожает безопасности Docker, Kubernetes и не только - «Новости»


15-02-2019, 09:01. Автор: Benson
");
}else{
$('#mpu1-desktop').remove();
console.log('mpu1-desktop removed');
}
});
Рекомендуем почитать:

Xakep #238. Забытый Android

  • Содержание выпуска

  • Подписка на «Хакер»

О серьезной уязвимости в инструменте для запуска контейнеров runC (CVE-2019-5736), сообщает инженер SUSE Алекса Сараи (Aleksa Sarai). Проблему, которая также может касаться LXC и Apache Mesos, обнаружили исследовали Адам Иванюк (Adam Iwaniuk) и Борис Поплавский (Borys Poplawski).


Напомню, что runC является дефолтным инструментом для запуска контейнеров Docker, containerd, Podman, CRI-O, и проект поддерживают такие гиганты, как Facebook, Google, Microsoft, Oracle и другие.


Сообщается, что обнаруженный баг позволяет вредоносному контейнеру перезаписать исполняемый файл runc на хост-системе, при этом взаимодействие с пользователем требуется минимальное. Таким образом атакующий сможет получить root-доступ к хосту и возможность исполнять произвольный код.


В сущности, атака связана с запуском исполняемого файла runc в окружении контейнера, однако его обработка уже произойдет в окружении хоста. Для реализации атаки злоумышленник должен будет либо вынудить жертву создать контейнер из заранее подготовленного вредоносного образа, либо подключиться (docker exec) к уже существующему контейнеру, к которому у злоумышленника был доступ на запись. Эксперты отмечают, что это не так уж и сложно, ведь администраторы часто используют первый попавшийся контейнер, не проверяя, что внутри.


Подчеркивается, что CVE-2019-5736 не представляет угрозы для систем, где user namespaces используется корректно, но угрожает системам с дефолтными настройками AppArmor и SELinux.


Специалист RedHat Скотт Маккарти (Scott McCarty) предупреждает, что обнаруженная уязвимость может спровоцировать настоящий судный день в корпоративном ИТ, ведь через эксплуатацию этого бага потенциальные атакующие могут «достать» и другие связанные с хост-системой решения, то есть может произойти целая цепочка взломов.


Proof-of-concept эксплоит планируют опубликовать 18 февраля 2019 года, и администраторов призывают срочно озаботиться установкой патчей.


В настоящее время свои продукты уже обновили разработчики Amazon, Google, Docker, RHEL, Fedora и Ubuntu; идет работа над исправлениями для Debian и SUSE; представители Red Hat пишут, что Red Hat Enterprise Linux и Red Hat OpenShift по умолчанию защищены, и дают советы по обходу проблемы.


Фото: Depositphotos


Источник новостиgoogle.com
Перейти обратно к новости