CVE-2020-15257

ملخص

containerd هو وقت تشغيل حاويات بمعايير صناعية، ويتوفر كخفيّة (daemon) لأنظمة Linux وWindows. في containerd قبل الإصدارين 1.3.9 و1.4.3، كانت واجهة برمجة التطبيقات (API) الخاصة بـ containerd-shim مكشوفة بشكل غير صحيح لحاويات شبكة المضيف. تتحقق ضوابط الوصول لمقبس API الخاص بـ shim من أن العملية المتصلة لديها UID فعّال بقيمة 0، لكنها لا تقيّد الوصول إلى مقبس نطاق Unix المجرد (abstract Unix domain socket) بأي شكل آخر. قد يسمح هذا للحاويات الخبيثة التي تعمل في نفس مساحة اسم الشبكة الخاصة بـ shim، مع UID فعّال بقيمة 0 ولكن بصلاحيات مخفّضة بخلاف ذلك، بالتسبب في تشغيل عمليات جديدة بصلاحيات مرتفعة. تم إصلاح هذه الثغرة في containerd 1.3.9 و1.4.3. يجب على المستخدمين التحديث إلى هذه الإصدارات فور إصدارها. وتجدر الإشارة إلى أن الحاويات التي بدأت بإصدار قديم من containerd-shim يجب إيقافها وإعادة تشغيلها، لأن الحاويات قيد التشغيل ستظل عرضة للثغرة حتى بعد الترقية. إذا كنت لا توفّر القدرة للمستخدمين غير الموثوقين لبدء حاويات في نفس مساحة اسم الشبكة الخاصة بـ shim (عادةً مساحة اسم شبكة "المضيف"، على سبيل المثال مع `docker run --net=host` أو `hostNetwork: true` في حجرة Kubernetes) وتشغيلها بـ UID فعّال بقيمة 0، فأنت لست عرضة لهذه المشكلة. إذا كنت تشغّل حاويات بتهيئة عرضة للثغرة، يمكنك منع الوصول إلى جميع المقابس المجردة باستخدام AppArmor بإضافة سطر مشابه لـ `deny unix addr=@**` إلى سياستك. من أفضل الممارسات تشغيل الحاويات بمجموعة صلاحيات مخفّضة، مع UID غير صفري، ومع مساحات أسماء معزولة. ينصح القائمون على صيانة containerd بشدة بتجنّب مشاركة مساحات الأسماء مع المضيف. إن تقليل مجموعة آليات العزل المستخدمة لحاوية يزيد حتمًا من صلاحيات تلك الحاوية، بغض النظر عن وقت تشغيل الحاويات المستخدم لتشغيلها.

• abstractshimmerPoC

  إثبات مفهوم لثغرة CVE-2020-15257 في containerd.