Уязвимость в runC угрожает безопасности Docker, Kubernetes и не только - «Новости»

Xakep #238. Забытый Android

• Содержание выпуска


• Подписка на «Хакер»

О серьезной уязвимости в инструменте для запуска контейнеров runC (CVE-2019-5736), сообщает инженер SUSE Алекса Сараи (Aleksa Sarai). Проблему, которая также может касаться LXC и Apache Mesos, обнаружили исследовали Адам Иванюк (Adam Iwaniuk) и Борис Поплавский (Borys Poplawski).

Напомню, что runC является дефолтным инструментом для запуска контейнеров Docker, containerd, Podman, CRI-O, и проект поддерживают такие гиганты, как Facebook, Google, Microsoft, Oracle и другие.

Сообщается, что обнаруженный баг позволяет вредоносному контейнеру перезаписать исполняемый файл runc на хост-системе, при этом взаимодействие с пользователем требуется минимальное. Таким образом атакующий сможет получить root-доступ к хосту и возможность исполнять произвольный код.

В сущности, атака связана с запуском исполняемого файла runc в окружении контейнера, однако его обработка уже произойдет в окружении хоста. Для реализации атаки злоумышленник должен будет либо вынудить жертву создать контейнер из заранее подготовленного вредоносного образа, либо подключиться (docker exec) к уже существующему контейнеру, к которому у злоумышленника был доступ на запись. Эксперты отмечают, что это не так уж и сложно, ведь администраторы часто используют первый попавшийся контейнер, не проверяя, что внутри.

Подчеркивается, что CVE-2019-5736 не представляет угрозы для систем, где user namespaces используется корректно, но угрожает системам с дефолтными настройками AppArmor и SELinux.

Специалист RedHat Скотт Маккарти (Scott McCarty) предупреждает, что обнаруженная уязвимость может спровоцировать настоящий судный день в корпоративном ИТ, ведь через эксплуатацию этого бага потенциальные атакующие могут «достать» и другие связанные с хост-системой решения, то есть может произойти целая цепочка взломов.

Proof-of-concept эксплоит планируют опубликовать 18 февраля 2019 года, и администраторов призывают срочно озаботиться установкой патчей.

В настоящее время свои продукты уже обновили разработчики Amazon, Google, Docker, RHEL, Fedora и Ubuntu; идет работа над исправлениями для Debian и SUSE; представители Red Hat пишут, что Red Hat Enterprise Linux и Red Hat OpenShift по умолчанию защищены, и дают советы по обходу проблемы.

Фото: Depositphotos