Τα ελαττώματα του Leaky Vessels επιτρέπουν στους χάκερ να ξεφύγουν από τα κοντέινερ Docker, runc

Τέσσερα

τρωτά σημεία

που ονομάζονται συλλογικά “Διαρροή σκάφη” επιτρέπουν στους χάκερ να διαφεύγουν από κοντέινερ και να έχουν πρόσβαση σε δεδομένα του υποκείμενου λειτουργικού συστή

ματ

ος κεντρικού υπολογιστή.

Τα ελαττώματα ανακαλύφθηκαν από

Snyk

ο ερευνητής ασφαλείας Rory McNamara τον Νοέμβριο του 2023, ο οποίος τα ανέφερε σε επηρεαζόμενα μέρη για επιδιόρθωση.

Η Snyk δεν βρήκε σημάδια ενεργητικής εκμετάλλευσης των ελαττωμάτων του Leaky Vessels στη φύση, αλλά η δημοσιότητα θα μπορούσε να αλλάξει την κατάσταση εκμετάλλευσης, επομένως όλοι οι επηρεαζόμενοι διαχειριστές συστήματος συνιστάται να εφαρμόζουν τις διαθέσιμες ενημερώσεις ασφαλείας το συντομότερο δυνατό.

Δοχεία διαφυγής

Τα κοντέινερ είναι εφαρμογές συσκευασμένες σε ένα αρχείο που περιέχει όλες τις εξαρτήσεις χρόνου εκτέλεσης, τα εκτελέσιμα αρχεία και τον κώδικα που απαιτούνται για την εκτέλεση μιας εφαρμογής. Αυτά τα κοντέινερ εκτελούνται από πλατφόρμες όπως το Docker και το Kubernetes που εκτελούν την εφαρμογή σε ένα εικονικό περιβάλλον απομονωμένο από το λειτουργικό σύστημα.

Η διαφυγή κοντέινερ συμβαίνει όταν ένας εισβολέας ή μια κακόβουλη εφαρμογή ξεσπάσει από το απομονωμένο περιβάλλον κοντέινερ και αποκτά μη εξουσιοδοτημένη πρόσβαση στο κεντρικό σύστημα ή σε άλλα κοντέινερ.

Η ομάδα της Snyk εντόπισε τέσσερις ευπάθειες που ονομάζονται συλλογικά “Διαρροές αγγείων” που επηρεάζουν την υποδομή κοντέινερ runc και το Buildkit και τα εργαλεία

κατασκευή

ς, επιτρέποντας δυνητικά στους επιτιθέμενους να πραγματοποιήσουν διαφυγή κοντέινερ σε διάφορα προϊόντα λογισμικού.

Καθώς το runc ή το Buildkit χρησιμοποιούνται από ένα ευρύ φάσμα δημοφιλών λογισμικών διαχείρισης κοντέινερ, όπως το Docker και το Kubernetes, η έκθεση σε επιθέσεις γίνεται πολύ πιο σημαντική.

Τα ελαττώματα του Leaky Vessels συνοψίζονται παρακάτω:

• 
  
  CVE-2024-21626
  
  
  : Σφάλμα που προέρχεται από ένα ελάττωμα σειράς λειτουργιών με την εντολή WORKDIR στο runc. Επιτρέπει στους εισβολείς να διαφύγουν από το απομονωμένο περιβάλλον του κοντέινερ, παρέχοντας μη εξουσιοδοτημένη πρόσβαση στο λειτουργικό σύστημα του κεντρικού υπολογιστή και δυνητικά θέτοντας σε κίνδυνο ολόκληρο το σύστημα.
• 
  
  CVE-2024-23651
  
  
  : Μια συνθήκη αγώνα εντός του χειρισμού της κρυφής μνήμης προσάρτησης του Buildkit που οδηγεί σε απρόβλεπτη συμπεριφορά, επιτρέποντας δυνητικά σε έναν εισβολέα να χειρ
  
  αγωγή
  
  σει τη διαδικασία για μη εξουσιοδοτημένη πρόσβαση ή να διακόψει τις κανονικές λειτουργίες του κοντέινερ.
• 
  
  CVE-2024-23652
  
  
  : Ελάττωμα που επιτρέπει την αυθαίρετη διαγραφή αρχείων ή καταλόγων κατά τη φάση αποκοπής κοντέινερ του Buildkit. Θα μπορούσε να οδηγήσει σε άρνηση παροχής υπηρεσιών, καταστροφή δεδομένων ή μη εξουσιοδοτημένη χειραγώγηση δεδομένων.
• 
  
  CVE-2024-23653
  
  
  : Αυτή η ευπάθεια προκύπτει από ανεπαρκείς ελέγχους προνομίων στη διεπαφή GRPC του Buildkit. Θα μπορούσε να επιτρέψει στους εισβολείς να εκτελέσουν ενέργειες πέρα ​​από τις άδειές τους, οδηγώντας σε κλιμάκωση των προνομίων ή μη εξουσιοδοτημένη πρόσβαση σε ευαίσθητα δεδομένα.

Επιπτώσεις και αποκατάσταση

Το Buildkit και το runc χρησιμοποιούνται ευρέως από δημοφιλή έργα όπως το Docker και πολλές διανομές Linux.

Λόγω αυτού, η επιδιόρθωση των τρωτών σημείων “Leaky Vessels” περιελάμβανε συντονισμένες ενέργειες μεταξύ της ερευνητικής ομάδας ασφάλειας στο Snyk, των συντηρητών των επηρεαζόμενων στοιχείων (runc και BuildKit) και της ευρύτερης κοινότητας υποδομής κοντέινερ.

Στις 31 Ιανουαρίου

2024

, το Buildkit διόρθωσε τα ελαττώματα με

έκδοση 0.12.5

και το runc αντιμετώπισε το ζήτημα ασφάλειας που το επηρεάζει

έκδοση 1.1.12

.

Λιμενεργάτης

κυκλοφόρησε την έκδοση 4.27.0

την ίδια μέρα, ενσωματώνοντας τις ασφαλείς εκδόσεις των εξαρτημάτων στον κινητήρα του Moby, με τις εκδόσεις 25.0.1 και 24.0.8.

Υπηρεσίες Ιστού της Amazon

,

Google Cloud

και

Ubuntu

δημοσίευσε επίσης σχετικά ενημερωτικά δελτία ασφαλείας, καθοδηγώντας τους χρήστες στα κατάλληλα βήματα για την επίλυση των ελαττωμάτων στο λογισμικό και τις υπηρεσίες τους.

Τελικά,

Η CISA δημοσίευσε επίσης προειδοποίηση

παροτρύνοντας τους διαχειριστές συστημάτων cloud να λάβουν τα κατάλληλα μέτρα για να εξασφαλίσουν τα συστήματά τους από πιθανή εκμετάλλευση.