CVE-2024-21626
اختراق حاوية runc عبر خداع process.cwd وتسريب واصفات الملفات (fds)
- تم النشر
- 31/01/2024
- محدث
- 17/09/2026
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:Hمتوسط · الثلاثين يومًا القادمة
- المئوية
- 97.3%
- تاريخ الموديل
- 17/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
runc هي أداة CLI لإنشاء وتشغيل الحاويات على لينكس وفقًا لمواصفة OCI. في runc 1.1.11 والإصدارات الأقدم، وبسبب تسرب واصف ملف داخلي، يمكن للمهاجم أن يتسبب في جعل دليل العمل لعملية حاوية مُنشأة حديثًا (من runc exec) داخل مساحة أسماء نظام الملفات المضيف، مما يسمح بالهروب من الحاوية عبر منح الوصول إلى نظام الملفات المضيف ("attack 2"). يمكن استخدام نفس الهجوم بواسطة صورة ضارة للسماح لعملية حاوية بالوصول إلى نظام الملفات المضيف عبر runc run ("attack 1"). يمكن أيضًا استخدام متغيرات من الهجومين 1 و2 للكتابة فوق ثنائيات المضيف شبه العشوائية، مما يسمح بهروب كامل من الحاوية ("attack 3a" و"attack 3b"). يتضمن runc 1.1.12 تصحيحات لهذه الثغرة.
المصادر
modules/exploits/linux/local/runc_cwd_priv_esc.rb
Metasploit Framework modulesالشروط المعلنة
- platform: Linux($.exploit_linux/local/runc_cwd_priv_esc.platform)
- verification: check_declared($.exploit_linux/local/runc_cwd_priv_esc.check)
عرض تعليمي لثغرة CVE-2024-21626 للهروب من حاوية runc مع أداة كشف مبنية على eBPF لمحاولات الاستغلال.
- CVE-2024-21626استغلال
استغلال فعال لثغرة CVE-2024-21626، وهي ثغرة هروب من حاوية runC/Docker عبر هجوم ارتباط رمزي على دليل العمل، مما يتيح الوصول إلى نظام الملفات المضيف.
إثبات لاستغلال CVE-2024-21626 للهروب من الحاوية مما يسمح بالوصول إلى جذر المضيف عبر صورة Docker خبيثة، مع سيناريو هجوم خطوة بخطوة لأغراض تعليمية.
- CVE-2024-21626استغلال
PoC والكشف عن CVE-2024-21626
- container-escape-ebpfاستغلال
POCs وقواعد Tetragon لـ CVE-2024-21626 و CVE-2025-31133
إثبات المفهوم لـ CVE-2024-21626: runc يُسرّب مؤشر ملف داخلي (fd) يشير إلى دليل العمل الحالي للمضيف (host CWD) قبل pivot_root، مما يتيح الهروب من الحاوية عن طريق تعيين process.cwd إلى /proc/self/fd/7
استغلالات إثبات المفهوم لـ CVE-2024-21626، ثغرة الهروب من حاوية Docker/runc، توضح نواقل هجوم متعددة للوصول إلى نظام ملفات المضيف وتعديله.
إثبات مفهوم لثغرة CVE-2024-21626، وهي ثغرة هروب من الحاويات في runc. يتضمن سكربتات تحقق، وطريقتي استغلال (صدفة عكسية عبر cron واستبدال الأوامر)، وتحليلًا للسبب الجذري والتصحيح.
إثبات المفهوم لـ CVE-2024-21626، وهي ثغرة هروب من الحاوية في runc، تعرض تقنيات الاستغلال.
إثبات مفهوم لاستغلال CVE-2024-21626 للهروب من حاوية runc عبر تسريب واصفات الملفات والتلاعب بـ process.cwd، مما يتيح الوصول إلى نظام ملفات المضيف.
- CVE-2024-21626استغلال
POC
ثلاث عمليات إعادة إنتاج مختلفة، WORKDIR وEXEC وRUNC.
السبب الجذري وإثبات الكود
يحلل ويستغل ثغرة الهروب من الحاوية في إصدارات Docker/runc القديمة، مما يوضح تسرب واصفات الملفات للوصول إلى نظام ملفات المضيف، مع سكربتات الإعداد والاختبار.
إثبات مفهوم لاستغلال CVE-2024-21626، وهي ثغرة هروب من الحاوية في Docker/runc. يوضح التلاعب بوصف الملف للخروج من عزل الحاوية. لأغراض تعليمية وبحثية فقط.
إثبات المفهوم لثغرة CVE-2024-21626، وهي ثغرة هروب من حاوية runc تسمح بالوصول إلى نظام ملفات المضيف عبر دليل عمل مُعدّل في حاويات Docker.
إثبات برهان المفهوم لثغرة CVE-2024-21626، وهي ثغرة هروب من الحاوية في runc/Docker باستخدام معالجة واصفات الملفات. لأغراض تعليمية وبحثية فقط.
- little-jokePoC
بعض السكريبتات لمحاكاة هجوم (مستخدمة لـ CVE-2024-21626)
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.