Zraniteľnosť v kontajneri runC umožňuje únik z izolovaného prostredia

Bezpečnostný výskumník zo spoločnosti SUSE objavil tri zraniteľnosti, ktoré umožňujú lokálnemu útočníkovi za určitých podmienok uniknúť z izolovaného prostredia softvérového kontajneru a získať administrátorské (root) oprávnenia v hostiteľskom systéme.

Zraniteľné systémy podľa jednotlivých CVE:

  • CVE-2025-31133 – všetky verzie runC
  • CVE-2025-52881 – všetky verzie runC
  • CVE-2025-52565 – runC verzie 1.0.0-rc3 a vyššie

Opis zraniteľnosti:

CVE-2025-31133 (CVSS 4.0 skóre 7,3)

Zraniteľnosť spočíva v nedostatočnej verifikácii cez funkciu maskedPaths, ktorá je navrhnutá na ochranu citlivých súborov hostiteľa pred prístupom z kontajnerov. Zraniteľnosť umožňuje útočníkovi podvrhnúť nelegitímny kód pomocou symbolického odkazu (symlink) za cestu /dev/null, čím vie pripojiť ľubovoľnú cestu z hostiteľa do kontajnera.

CVE-2025-52881 (CVSS 4.0 skóre 7,3)

Zraniteľnosť umožňuje presmerovať výstup zápisu z cesty /proc cez symbolické odkazy. Týmto spôsobom môže útočník obísť štítky Security Linux Module tým, že presmerujú zápisy runC do podvrhnutých súborov procfs. Zneužitie zraniteľnosti pripomína historickú CVE-2019-19921.

CVE-2025-52565 (CVSS 4.0 skóre 8,4)

Táto zraniteľnosť cieli na operáciu pripojenia (mount) /dev/pts/$n na /dev/console počas inicializácie kontejnera. Nedostatočná validácia umožňuje útočníkom presmerovať toto pripojenie a získať zápisový prístup k chráneným súborom v procfs. Pripojenie /dev/console prebieha pred aplikovaním ochrán maskedPaths a readonlyPaths, čo útočníkom umožňuje manipulovať s cieľom pripojenia a obísť bezpečnostné obmedzenia.

Možné škody:

  • Odopretie služby hostiteľského systému (DoS)
  • Únik citlivých informácií z hostiteľského systému
  • Získanie úplnej kontroly nad hostiteľským zariadením

Odporúčania:

Administrátorom a developerom odporúčame aktualizovať runC na verziu 1.2.8, 1.3.3, alebo 1.4.0-rc.3 alebo novšiu, podľa produkčných požiadaviek. Ďalej odporúčame aktivovať množiny mien (namespaces) pre všetky kontajnery, čím zamedzia prístup k súborom procfs. Všeobecným odporúčaním je aj využívať tzv. „rootless“ kontajnery ktoré nevyžadujú administrátorské právomoci.

Zdroje: