Podatności crun

W narzędziu crun po wykonaniu pivot_root ponowne otwarcie /dev/null dla stdio może podążyć za dowiązaniem symbolicznym i podłączyć plik hosta do stdio kontenera, a następnie zmienić właściciela tego pliku. Dotyczy wersji crun 1.29.1 i wcześniejszych. Konfiguracje domyślne montujące świeży /dev nie są narażone. Brak dostępnej wersji naprawionej.

W narzędziu crun, gdy konfiguracja kontenera nie zapewnia dedykowanego montowania /dev, konfiguracja terminala może przekierować /dev/console na ścieżkę kontrolowaną przez atakującego, w tym przez mechanizm awaryjnego montowania bind dla read-only-rootfs. Dotyczy wersji crun 1.29.1 i wcześniejszych. Konfiguracje domyślne montujące świeży /dev nie są narażone. Brak dostępnej wersji naprawionej.

W crun, gdy jest zbudowany z libkrun i kontener jest uruchamiany w trybie rootful z siecią passt (krun.use_passt), crun może wykonać ładunek kontrolowany przez atakującego z obrazu kontenera z uprawnieniami roota hosta. Jest to regresja w crun 1.29; problem dotyczy crun >= 1.29.

crun przed wersją 1.28 zawiera podatność w domyślnej konfiguracji urządzeń, która otwiera katalog /dev w rootfs kontenera bez flagi O_NOFOLLOW. Jeśli pakiet OCI zawiera rootfs/dev jako dowiązanie symboliczne i konfiguracja nie montuje /dev, crun podąża za dowiązaniem i tworzy domyślne węzły urządzeń oraz dowiązania stdio poza rootfs kontenera. Może to prowadzić do nadpisania istniejących plików, np. ptmx.