runc-sårbarheder afslører alvorlige Docker-container-escape-risici

runc-sårbarheder har skabt ny bekymring i containerøkosystemet, efter at sikkerhedsforskere offentliggjorde farlige svagheder, der gør fulde escape-angreb mulige. Disse problemer giver trusselsaktører mulighed for at bryde containerisolationen og køre kode direkte på værtsmaskiner. Fundene viser, hvor stor påvirkning runtime-svagheder kan have på Docker og andre platforme, der bruger runc til eksekvering.

Kritiske sårbarheder opdaget

Forskere identificerede flere svagheder i runc, som angribere kan udnytte under containeropstart eller andre livscyklus­hændelser. Manipulerede images eller ondsindede workloads kan påvirke processer på værtsniveau. Når angrebet udløses, åbner svaghederne veje, som giver angribere mulighed for at undslippe containeren og få direkte kontrol over værtsmiljøet.

Disse sårbarheder påvirker runc-versioner, der anvendes bredt i Docker, Kubernetes, containerd og andre containerplatforme. Fordi runc ligger i kernen af disse systemer, gør udnyttelsen det muligt at kompromittere miljøer uden, at angriberen behøver rettighedseskalering inde i containeren.

Sådan udfører angribere container-escapes

De rapporterede svagheder drejer sig om, hvordan runc håndterer fildeskriptorer og mount-operationer. Manipulerede payloads kan udnytte disse funktioner til at overskrive følsomme værtsfiler eller injicere kommandoer i privilegerede eksekveringsveje.

Under test viste forskerne, at en angriber, der kontrollerer et containerimage, kan udnytte svaghederne blot ved at starte containeren. Ingen usædvanlige konfigurationsændringer kræves. Denne tilgængelighed øger alvoren, da mange miljøer kører uverificerede images eller workloads med begrænset validering.

Mulige konsekvenser omfatter:

Overskrivning af værtsbinærer
Udskiftning af kernefiler med ondsindede versioner
Eksekvering af kode direkte på værten
Brydning af isolationen mellem containere

Når angriberen først er inde på værten, kan vedkommende bevæge sig videre, stjæle legitimationsoplysninger eller etablere langvarig tilstedeværelse.

Påvirkning på Docker, Kubernetes og containerd

runc-svaghederne rammer alle platforme, der anvender runtime-komponenten til containerkørsel. Docker-brugere står over for betydelig risiko, fordi runc håndterer centrale operationer. Kubernetes-klynger er også udsatte, især i multi-tenant-miljøer, hvor teams udruller workloads med forskellige tillidsniveauer.

Platforme som containerd, Podman og andre runc-baserede runtimes deler den samme risiko. Fordi runc anvendes i cloud-infrastruktur, CI-pipelines, udviklermiljøer og produktionsservere, er angrebsfladen meget stor.

Løsninger og anbefalede tiltag

runc-vedligeholderne har frigivet patches, der løser sårbarhederne. Brugere bør opdatere runc straks via deres containerplatform eller pakkehåndtering.

Sikkerhedsteams bør også:

Gennemgå systemer, der tidligere har kørt uverificerede containere
Roter legitimationsoplysninger på berørte værter
Begrænse brugen af privilegerede containere
Håndhæve strenge valideringskrav for containerimages
Implementere runtime-overvågning, der opdager escape-forsøg

Klyngeoperatører skal sikre, at nodeimages og orkestreringsværktøjer nu benytter patched runc-versioner.

Konklusion

runc-sårbarheder udgør en alvorlig trussel, fordi de underminerer den isolation, som containersikkerhed er baseret på. Angribere kan udnytte svaghederne til at undslippe containere, overskrive værtsfiler og opnå fuld kontrol over værtsmiljøet. Organisationer skal anvende patches hurtigt, validere workloads omhyggeligt og opretholde stærk kontrol over container­miljøer for at reducere fremtidige risici.