도커에서 병렬 불확실성의 취약점을 발견, 정도 "경쟁 조건"이라고.
Wi 번째의 도움말 공격자가 작성하고 호스트에있는 파일을 읽을 수 있습니다. 문제는 모든 도커 버전을 포함.취약점은 다음과 유사합니다 CVE-2018-15664 그리고 공격자 재 자원 경로 허가 후이 자원에 대한 프로그램의 작업을 시작하기 전에 수 있습니다 (TOCTOU 오류).
문제는 영향을 FollowSymlinkScope 기능, 기반 취약 TOCTOU 공격. 방식으로 처리되는 모든 프로세스들이 도커 컨테이너 내부에가는 것처럼하면서이 기능은 경로에 대한 보안 권한을 사용.
허용 된 경로는 한 번에 사용되지 않습니다, 하지만 잠시 후. 이 "창"공격자를 사용하고 마지막으로 수퍼 유저의 권한으로 호스트에서 활성화됩니다 심볼릭 링크를 추가 할 수 있습니다 발생.
"공격자가 경로에 * 후 * 해상도를 심볼릭 링크 구성 요소를 추가 할 수 있지만, 경우 * 전 *
그것의 작동, 당신은 루트로 호스트에 심볼릭 링크 경로 구성 요소를 해결 끝낼 수 있었다. '고정 표시기의 CP의 경우’ 이 "호스트에있는 모든 경로에 *와 * 쓰기 읽기 액세스 권한을 제공합니다 , - Aleksa 사래 말했다.
취약점 악용을 방지하기 위해 시도, 사래는 'chrootarchive를 modifing에 추천’ 방법으로 그 아카이브 작업은 안전한 환경에서 수행 할 것, 수퍼 유저는 'rootfs'용기입니다.
연구원은 또한 두 개의 스크립트를 발표 – 쓰기위한 하나의 읽기에 대한 두 번째. 자세한 내용은 사래의 출판에 앞서 도커 개발자 정보.
