安全研究员发现漏洞群，允许黑客逃离 Docker 和 runc 容器,看安全修复指南

Bleeping Computer 网站消息，2023 年 11 月，Snyk 安全研究员 Rory McNamara 发现了四个统称为 “Leaky Vessels “的漏洞群。据悉，这些漏洞允许黑客逃离容器并访问底层主机操作系统上的数据信息。

发现安全漏洞问题后，安全研究员立即将这一问题报告给了受影响的各方，以便进行及时修复。值得一提的是，安全研究员没有发现泄漏容器漏洞在野外被积极利用的迹象，但是还是建议所有受影响的系统管理员尽快应用可用的安全更新。

安全漏洞影响范围广泛，危害极大

容器是打包到一个文件中的应用程序，包含运行应用程序所需的所有运行时依赖项、可执行文件和代码，一般由 Docker 和 Kubernetes 等平台执行，这些平台在与操作系统隔离的虚拟化环境中运行应用程序。

当威黑客或恶意应用程序脱离隔离的容器环境，未经授权访问主机系统或其他容器时，就会发生容器逃逸。Snyk 团队发现四个统称为 “Leaky Vessels “的漏洞，主要影响了 runc 和 Buildkit 容器基础架构和构建工具，可能允许威胁攻击者在各种软件产品上执行容器逃逸。

演示图片：https://www.bleepstatic.com/images/news/security/l/leaky-vessels/blog-cve-2024-21626-docker-run%5B1%5D.gif

由于多种流行的容器管理软件（如 Docker 和 Kubernetes）都在使用 runc 或 Buildkit，因此安全漏洞造成的网络完全风险显得尤为严重。

”Leaky Vessels “漏洞概述如下：

CVE-2024-21626：该漏洞源于 runc 中 WORKDIR 命令的操作顺序漏洞，允许威胁攻击者逃离容器的隔离环境，对主机操作系统进行未经授权的访问，并可能危及整个系统；

CVE-2024-23651：Buildkit 的挂载缓存处理中的竞赛条件导致不可预测的行为，可能允许黑客操纵进程进行未经授权的访问或破坏正常的容器操作；

CVE-2024-23652：允许在 Buildkit 的容器拆卸阶段任意删除文件或目录的漏洞，可能导致拒绝服务、数据损坏或未经授权的数据操作；

CVE-2024-23653：该漏洞源于 Buildkit 的 GRPC 接口权限检查不足，可能允许黑客执行超出其权限的操作，导致权限升级或未经授权访问敏感数据。