О серьезной уязвимости в инструменте для запуска контейнеров runC (CVE-2019-5736), сообщает инженер SUSE Алекса Сараи (Aleksa Sarai). Проблему, которая также может касаться LXC и Apache Mesos, обнаружили исследовали Адам Иванюк (Adam Iwaniuk) и Борис Поплавский (Borys Popławski).
Напомню, что runC является дефолтным инструментом для запуска контейнеров Docker, containerd, Podman, CRI-O, и проект поддерживают такие гиганты, как Facebook, Google, Microsoft, Oracle и другие.
Сообщается, что обнаруженный баг позволяет вредоносному контейнеру перезаписать исполняемый файл runc на хост-системе, при этом взаимодействие с пользователем требуется минимальное. Таким образом атакующий сможет получить root-доступ к хосту и возможность исполнять произвольный код.
В сущности, атака связана с запуском исполняемого файла runc в окружении контейнера, однако его обработка уже произойдет в окружении хоста. Для реализации атаки злоумышленник должен будет либо вынудить жертву создать контейнер из заранее подготовленного вредоносного образа, либо подключиться (docker exec) к уже существующему контейнеру, к которому у злоумышленника был доступ на запись. Эксперты отмечают, что это не так уж и сложно, ведь администраторы часто используют первый попавшийся контейнер, не проверяя, что внутри.
Подчеркивается, что CVE-2019-5736 не представляет угрозы для систем, где user namespaces используется корректно, но угрожает системам с дефолтными настройками AppArmor и SELinux.
Специалист RedHat Скотт Маккарти (Scott McCarty) предупреждает, что обнаруженная уязвимость может спровоцировать настоящий судный день в корпоративном ИТ, ведь через эксплуатацию этого бага потенциальные атакующие могут «достать» и другие связанные с хост-системой решения, то есть может произойти целая цепочка взломов.
Proof-of-concept эксплоит планируют опубликовать 18 февраля 2019 года, и администраторов призывают срочно озаботиться установкой патчей.
В настоящее время свои продукты уже обновили разработчики Amazon, Google, Docker, RHEL, Fedora и Ubuntu; идет работа над исправлениями для Debian и SUSE; представители Red Hat пишут, что Red Hat Enterprise Linux и Red Hat OpenShift по умолчанию защищены, и дают советы по обходу проблемы.
Фото: Depositphotos
