CVE-2024-21626
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 97 - wyżej niż 97% wszystkich znanych CVE
Streszczenie
Podatność w runc 1.1.11 i wcześniejszych wynika z wycieku deskryptora pliku, co pozwala atakującemu na ustawienie katalogu roboczego procesu kontenera w przestrzeni nazw systemu plików hosta. Umożliwia to ucieczkę z kontenera i dostęp do systemu plików hosta poprzez polecenia runc exec lub runc run. Dodatkowe warianty ataku pozwalają na nadpisywanie plików binarnych hosta, prowadząc do całkowitej ucieczki z kontenera.
Ocena ryzyka
Organizacja narażona jest na ryzyko całkowitego przejęcia hosta przez atakującego, który może uzyskać dostęp do wrażliwych danych, zmodyfikować pliki systemowe lub uruchomić złośliwy kod poza kontenerem.
Rekomendacja
Należy natychmiast zaktualizować runc do wersji 1.1.12 lub nowszej. Przed aktualizacją zaleca się ograniczenie zaufanych obrazów kontenerów i monitorowanie aktywności kontenerów pod kątem podejrzanych zachowań.
Oryginalny opis (angielski, źródło NVD)
runc is a CLI tool for spawning and running containers on Linux according to the OCI specification. In runc 1.1.11 and earlier, due to an internal file descriptor leak, an attacker could cause a newly-spawned container process (from runc exec) to have a working directory in the host filesystem namespace, allowing for a container escape by giving access to the host filesystem ("attack 2"). The same attack could be used by a malicious image to allow a container process to gain access to the host filesystem through runc run ("attack 1"). Variants of attacks 1 and 2 could be also be used to overwrite semi-arbitrary host binaries, allowing for complete container escapes ("attack 3a" and "attack 3b"). runc 1.1.12 includes patches for this issue.