एक मेजबान में रन सीवीई-2019-5736 भेद्यता

लगभग। ट्रांस। : कल रात, SUSE लिनक्स के एक वरिष्ठ कंटेनर इंजीनियर, एलेक्सा सराय ने एक महत्वपूर्ण रनक / एलएक्ससी सुरक्षा भेद्यता की oss-sec मेलिंग सूची को बताया, जो एक हमलावर को मेजबान सिस्टम पर रूट विशेषाधिकार प्राप्त करने के लिए एक पृथक कंटेनर तक पहुंच की अनुमति दे सकता है। चूंकि कंटेनर रनटाइम - रनक के संदर्भ कार्यान्वयन में समस्या की पहचान की गई थी - यह डॉकटर / मोबी, पॉडमैन , क्रि -ओ (और खुद कुबेरनेट्स) सहित कई कंटेनर सिस्टम को प्रभावित करता है। एक मेलिंग सूची में इंजीनियर के संदेश का अनुवाद करने के रूप में विवरण नीचे प्रस्तुत किया गया है।


मैं रनर्स में से एक हूं (डॉकटर, क्रि-ओ, कंटेनर, कुबेरनेट्स, आदि द्वारा उपयोग किए जाने वाले अंतर्निहित कंटेनर रनटाइम)। हाल ही में यह एक भेद्यता के बारे में ज्ञात हो गया जिसे हमने जांचा और पैच किया।

शोधकर्ता जिन्होंने भेद्यता की खोज की:

• एडम इवानुक;
• बोरिस पॉपलास्की।

इसके अलावा, अलेक्सा सराय (यानी, I) ने पाया कि LXC इस भेद्यता के अधिक परिष्कृत संस्करण से भी प्रभावित है।

संक्षिप्त समीक्षा

भेद्यता दुर्भावनापूर्ण कंटेनर (न्यूनतम उपयोगकर्ता इंटरैक्शन के साथ) को रनक होस्ट बाइनरी को अधिलेखित करने की अनुमति देती है और इस प्रकार मेजबान पर रूट विशेषाधिकारों के साथ कोड निष्पादित करने में सक्षम होती है। उपयोगकर्ता इंटरैक्शन की डिग्री ऐसी है कि यह आपको किसी भी संदर्भ में कंटेनर के भीतर रूट विशेषाधिकारों के साथ किसी भी कमांड को चलाने की अनुमति देता है (इससे कोई फर्क नहीं पड़ता कि हमलावर कमांड को नियंत्रित करता है):

• एक हमलावर द्वारा नियंत्रित छवि से एक नया कंटेनर बनाना;
• एक मौजूदा कंटेनर से कनेक्शन ( docker exec ), जिस पर हमलावर ने पहले पहुंच लिखी थी।

यह भेद्यता या तो AppArmor डिफ़ॉल्ट नीति या Fedora * में SELinux डिफ़ॉल्ट नीति द्वारा अवरुद्ध नहीं है (क्योंकि कंटेनर प्रक्रियाएँ वैसी ही दिखती हैं जैसे कि उन्होंने कंटेन_runtime_t से शुरू की container_runtime_t )। हालांकि, यह उपयोगकर्ता नामस्थान (जहां होस्ट की जड़ कंटेनर के उपयोगकर्ता नामस्थान पर मैप नहीं करता है) के सही उपयोग से अवरुद्ध है ।

CVSSv3 वेक्टर (7.2 की रेटिंग के साथ) इस प्रकार है:

AV:L/AC:H/PR:L/UI:R/S:C/C:N/I:H/A:H

मुद्दा CVE-2019-5736 सौंपा गया है।

* यह समस्या फेडोरा में केवल moby-engine पैकेज पर लागू होती है। podman तरह podman पैकेज को इसके संचालन से संरक्षित किया जाता है, क्योंकि यह कंटेनर प्रक्रियाओं को podman रूप container_t शुरू करता है।

पैच

मैं समस्या को ठीक करने के लिए उपयुक्त पैच लागू कर रहा हूं ( 0001-nsenter-clone-proc-self-exe-to-avoid-exposing-host-b.patch )। यह HEAD शाखा पर आधारित है, हालांकि libcontainer/nsenter/ परिवर्तनों में कोड ऐसा शायद ही कभी होता है कि पैच सबसे अधिक संभावना रनक कोड आधार के लगभग किसी भी पुराने संस्करण पर लागू होता है जो आप के साथ काम कर रहे हैं।

कृपया ध्यान दें कि मैं पैच को रनक मास्टर शाखा में धकेलता हूं, इस पैच का एक संशोधित संस्करण है, हालांकि वे कार्यात्मक रूप से समान हैं (यदि आपने अपनी फ़ाइलों को अभी तक संलग्न पैच के साथ पैच नहीं किया है, तो हम अपस्ट्रीम संस्करण का उपयोग करने की सलाह देते हैं)।

माध्यमिक शोषण संहिता

कुछ विक्रेताओं ने यह सुनिश्चित करने के लिए एक शोषण कोड का अनुरोध किया कि पैच समस्या को हल कर दें। चूंकि समस्या बहुत गंभीर है (विशेष रूप से सार्वजनिक क्लाउड विक्रेताओं के लिए), हमने ऐसा कोड प्रदान करने का निर्णय लिया। मैंने जो शोषण लिखा, वह शोधकर्ताओं द्वारा प्रदान किए गए मूल कोड से अधिक सामान्य है और एलएक्ससी के लिए काम करता है (इसे अन्य कमजोर निष्पादन योग्य वातावरणों पर लागू करने में सक्षम होने के लिए मजबूत संशोधनों की आवश्यकता नहीं है)। README में शोषण कोड का उपयोग करने के तरीके के बारे में जानकारी दी गई है।

ओपनवॉल नियमों के अनुसार, शोषण कोड सार्वजनिक रूप से सीआरडी (यानी 18 फरवरी, 2019) के 7 दिन बाद जारी किया जाएगा। यदि आपके पास कंटेनर रनटाइम है, तो कृपया सुनिश्चित करें कि यह इस भेद्यता से प्रभावित नहीं है।

अन्य परियोजनाओं पर प्रभाव

यह ध्यान दिया जाना चाहिए कि समस्या की आगे की जांच के दौरान, मैंने पाया कि एलएक्ससी में एक समान भेद्यता है, और उन्होंने पहले से ही हमारे संयुक्त विकास के समान पैच को धक्का दिया। LXC को संचालित करना थोड़ा अधिक कठिन है, लेकिन समस्या स्वयं एक ही है।

Systemd-nspawn के प्रतिनिधियों के साथ एक चर्चा ने निष्कर्ष निकाला कि वे असुरक्षित नहीं हैं (क्योंकि उनके पास एलएक्ससी और आरएनएसी के लिए कंटेनर को जोड़ने का एक अलग तरीका है)।

अपाचे मेसोस के प्रतिनिधियों ने भी मुझसे संपर्क किया, यह रिपोर्ट करते हुए कि वे भी असुरक्षित हैं (मुझे लगता है कि उन्होंने बस शोषण कोड का उपयोग किया था जो प्रकाशित होगा)। यह बहुत अधिक संभावना है कि अधिकांश कंटेनर रनटाइम कमजोर हैं यदि उन्होंने पहले से ही अपने संभावित प्रभाव को कम करने के लिए बहुत ही असामान्य कदम नहीं उठाए हैं।

अन्य समाचार

हमने भविष्य की सुरक्षा कमजोरियों के लिए एक समाचार पत्र स्थापित किया है: इसमें शामिल होने की प्रक्रिया यहां वर्णित है (यह कुबेरनेट्स सुरक्षा-घोषणा मेलिंग सूची पर आधारित है)। कृपया शामिल हों यदि आप कंटेनरों के लिए कोई रनटाइम वितरित करते हैं जो रनक (या अन्य ओसीआई परियोजनाओं) पर निर्भर करता है।

अनुवादक से पी.एस.

लोकप्रिय Linux वितरण के ट्रैकर्स में CVE-2019-5736 समस्या:

• डेबियन , उबंटू ;
• आरएचईएल , फेडोरा ;
• SUSE

... और कुबेरनेट्स ब्लॉग पोस्ट ("मुझे क्या करना चाहिए?" अनुभाग देखें)।