Container-Escape-Schwachstelle setzt Docker und Kubernetes einem Host-Takeover aus

Eine neu offengelegte Container-Escape-Schwachstelle betrifft runC, die Container-Runtime, die Docker, Kubernetes und andere Plattformen antreibt. Sicherheitsforscher warnen, dass Angreifer diese Schwachstellen ausnutzen können, um die Container-Isolation zu durchbrechen und Root-Zugriff auf das Host-System zu erlangen. Die Entdeckung unterstreicht, wie wichtig es ist, Container-Infrastrukturen zu patchen, bevor Angreifer Chancen finden, schwache Runtime-Grenzen auszunutzen.

Wie die Schwachstellen entdeckt wurden

Forscher entdeckten drei große Schwachstellen in runC, dem Kommandozeilenwerkzeug, das für das Starten und Verwalten von Containern verantwortlich ist, die dem Open Container Initiative-Standard entsprechen. Die Fehler erforderten umfangreiche Patches, und mehr als zwanzig Updates wurden veröffentlicht, um Konstruktionsprobleme zu beheben, die die Containersicherheit gefährdeten. Cloud-Anbieter, darunter große Provider, haben Nutzer aufgefordert, alle Umgebungen zu aktualisieren, die runC verwenden.

Obwohl keine aktive Ausnutzung beobachtet wurde, betonen Sicherheitsteams, dass diese Schwachstellen einen direkten Weg von einem kompromittierten Container zum Host-System schaffen. Die Container-Escape-Schwachstelle führt dazu, dass runC unsicheren Bedingungen vertraut, die Angreifer manipulieren können.

Analyse der drei kritischen Schwachstellen

CVE-2025-31133

Diese Schwachstelle nutzt die Art und Weise aus, wie runC „masked paths“ in Containern verwaltet. Wenn Angreifer /dev/null manipulieren, können sie es durch einen Link zu einer Datei auf dem Host ersetzen. Wenn runC dann mit diesem manipulierten Pfad interagiert, gewährt es unbeabsichtigt Schreibzugriff auf sensible Host-Ressourcen. Angreifer könnten Dateien wie /proc/sys/kernel/core_pattern überschreiben und so einen vollständigen Container-Escape ermöglichen.

CVE-2025-52565

Diese Schwachstelle tritt während der Container-Initialisierung auf. Sie ermöglicht es einem Angreifer, geschützte Einträge im Prozessdateisystem /proc zu modifizieren. Diese Dateien steuern, wie Linux Prozesse und Systemverhalten handhabt. Wenn sie verändert werden, kann dies unautorisierten Zugriff auf sensible Operationen auf dem Host ermöglichen.

CVE-2025-52881

Diese Schwachstelle ermöglicht es einem Angreifer innerhalb des Containers, Schreibvorgänge, die eigentlich für Container-Dateien bestimmt sind, auf sensible Pfade des Host-Systems umzuleiten. Durch Manipulation von Mounts in /proc können Angreifer runC dazu bringen, an der falschen Stelle zu schreiben und dadurch Dateien auf Host-Ebene zu verändern.

Warum die Container-Escape-Schwachstelle wichtig ist

Moderne Cloud-Umgebungen verlassen sich stark auf Container-Isolation. Wenn eine Schwachstelle diese Isolation bricht, kann ein kompromittierter Container ganze Cluster gefährden. Angreifer, die die Kontrolle über den Host gewinnen, können sich lateral zwischen Workloads bewegen, auf sensible Daten zugreifen oder Systemkonfigurationen verändern. Multi-Tenant-Umgebungen sind besonders gefährdet, da ein einzelner Ausbruch mehrere Kunden betreffen kann.

Die Container-Escape-Schwachstelle betrifft eines der weltweit am häufigsten verwendeten Container-Runtimes. Ohne sofortige Updates riskieren Organisationen, Angreifern einen direkten Weg zur vollständigen Kompromittierung des Hosts zu bieten.

Empfohlene Sicherheitsmaßnahmen

Sicherheitsexperten raten zu sofortigen Updates von runC und allen darauf basierenden Vendor-Paketen. Empfohlene Versionen sind 1.2.8, 1.3.3 und 1.4.0-rc.3 oder neuer.

Weitere Maßnahmen umfassen:

Aktivieren von User-Namespaces für alle Container, um den Zugriff auf kritische procfs-Dateien zu blockieren.
Verwendung von rootlosen Containern, um die Auswirkungen von Runtime-Schwachstellen zu reduzieren.
Installation von Vendor-Patches auf Cloud-Plattformen, sobald sie verfügbar sind.
Überprüfung von Hochrisiko-Workloads und Durchsetzung von Least-Privilege-Richtlinien.
Überwachung von Containern auf ungewöhnliche Aktivitäten, die auf Escape-Versuche hindeuten könnten.

Diese Maßnahmen stärken die Isolation und reduzieren die Wahrscheinlichkeit erfolgreicher Angriffe.

Fazit

Die Container-Escape-Schwachstelle in runC zeigt, wie stark die Containersicherheit von der Integrität der Runtime abhängt. Wenn Angreifer diese Grenze umgehen können, erhalten sie direkten Zugriff auf das Host-System und alle darauf laufenden Workloads. Organisationen müssen alle betroffenen Umgebungen aktualisieren, Namensraum-Schutz aktivieren und gehärtete Containerkonfigurationen einsetzen. Schnelles Handeln schützt kritische Infrastruktur und gewährleistet robuste Container-Isolation.