【安全通告】runC 严重安全漏洞(CVE-2019-5736)导致容器逃逸

作者:   广州非凡信息安全技术有限公司(总部广州) 2019/02/26 16:37:31 313次阅读 国际

【安全通告】runC 严重安全漏洞(CVE-2019-5736)导致容器逃逸
381845ef241cf41e9a4364bf4b2dbdb6.png
runC是一个根据OCI(Open Container Initiative)标准创建并运行容器的CLI(command-line interface) 工具。runC是Docker中最为核心的部分,容器的创建,运行,销毁等操作最终都是通过调用runC完成。
近日runC 报出严重安全漏洞(CVE-2019-5736),导致18.09.2版本之前的Docker允许恶意容器覆盖宿主机上的runC二进制文件,由此使攻击者能够以root身份在宿主机上执行任意命令。恶意容器需满足以下两个条件之一: (1)由一个攻击者控制的恶意镜像创建、(2)攻击者具有某已存在容器的写权限,且可通过docker exec进入。目前,研究员已在github上提交了该漏洞的的修复。

影响范围及不受影响范围

平台或产品 


 受影响版本 


 不受影响版本 


  Docker Version

   < 18.09.2

  Version == 18.09.2

  runC Version

  <= 1.0-rc6

  ——

解决方案

为了缓解该漏洞,建议所使用的容器镜像都是经过审查并信任的,建议使用基于runC 技术的开发者尽快进行升级。
参考链接:
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-5736
https://github.com/opencontainers/runc/commit/0a8e4117e7f715d5fbeef398405813ce8e88558b

runC github 修复链接:

https://github.com/opencontainers/runc/commit/0a8e4117e7f715d5fbeef398405813ce8e88558b

Docker 最新版本18.09.2 中已修复了该漏洞,建议升级到最新版本。
https://github.com/docker/docker-ce/releases/tag/v18.09.2

Red Hat 平台修复方案详见以下链接:
https://access.redhat.com/zh_CN/security/vulnerabilities/3907161

AWS 平台修复方案详见以下链接:
https://aws.amazon.com/cn/security/security-bulletins/AWS-2019-002/

Kubernetes修复方案详见以下链接:
https://kubernetes.io/blog/2019/02/11/runc-and-cve-2019-5736/


指导单位
广东省公安厅网络警察总队 广东省信息安全等级保护协调小组办公室