O pesquisador de segurança Yuval Avrahami descobriu vulnerabilidades RKT no ambiente recipiente (runtime recipiente) que lhe permitiu ignorar o recipiente e obter permissões de root no host.
Tele problemas são atribuídos os identificadores CVE-2019-10144, CVE-2019-10145 e CVE-2019-10147.Um atacante pode explorar vulnerabilidades, a fim de comprometer um host quando um usuário entra no ‘Ferramentas continentes’comando (equivalente ao ‘docker exec’comando) através de um módulo sob o seu controle.
“Eu não sei quantos usuários ainda correm RKT na produção, mas se você fizer, evite usar o ‘enter rkt’ comando, Como contém várias vulnerabilidades não corrigidas”, - recomendada Yuval Avrahami.
O 'Ferramentas continentes’Comando permite que você execute código binário em um recipiente em execução. O código binário é executado com privilégios de superusuário, mas o seccomp e cgroup mecanismos de segurança não se aplicam, o que dá ao atacante a oportunidade de ignorar o recipiente.
Para explorar vulnerabilidades, um invasor deve ter acesso a recipientes com privilégios de superusuário. Assim sendo, quando um usuário executa o ‘Ferramentas continentes’comando, um atacante pode reescrever o código binário e bibliotecas (/bin / bash ? libc.so.6) dentro do recipiente, a fim de lançar o código malicioso.
O pesquisador informou privada do fabricante sobre os problemas. Contudo, ele foi dito que nenhum limite de tempo foi fixado para corrigir a vulnerabilidade.
“Sugiro considerando tempos de execução do recipiente alternativas que são mais firmemente mantidos, tal como Doeker, podman ou LXD”, - aconselhado Yuval Avrahami.
Aparentemente, o pesquisador faz o veredicto final sobre o ferramentas meio Ambiente.
Fonte: https://www.twistlock.com
