CVE-2024-21626
Beschreibung
runc ist ein CLI-Tool zum Spawnen und Ausführen von Containern unter Linux gemäß der OCI-Spezifikation. In runc 1.1.11 und früher könnte ein Angreifer aufgrund eines internen Dateideskriptor-Lecks einen neu erstellten Containerprozess (von runc exec) dazu veranlassen, ein Arbeitsverzeichnis im Host-Dateisystem-Namespace zu haben, was einen Containerausbruch ermöglicht, indem er Zugriff auf das Host-Dateisystem gewährt ("Angriff 2"). Derselbe Angriff könnte von einem bösartigen Image verwendet werden, um einem Containerprozess den Zugriff auf das Host-Dateisystem durch runc run ("Angriff 1") zu ermöglichen. Varianten der Angriffe 1 und 2 könnten auch verwendet werden, um halbwillkürliche Host-Binärdateien zu überschreiben, so dass vollständige Containerausbrüche möglich sind ("Angriff 3a" und "Angriff 3b"). runc 1.1.12 enthält Patches für dieses Problem.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 1.1.12.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Mehrere Hersteller runc, fedora.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.