KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2019-5736 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Docker、containerd或者其他基于runc的容器在运行时存在安全漏洞，攻击者可以通过特定的容器镜像或者exec操作获取到宿主机runc执行时的文件句柄并修改掉runc的二进制文件，从而获取到宿主机的root执行权限。
影响范围
应用：apache mesos（影响面 Up to (excluding) 1.4.3）
应用：apache mesos（影响面 Up to (excluding) 1.5.3）
应用：apache mesos（影响面 Up to (excluding) 1.6.2）
应用：apache mesos（影响面 Up to (excluding) 1.7.2）
应用：docker docker（影响面 Up to (excluding) 18.09.2）
应用：google kubernetes_engine（版本 -）
应用：hp onesphere（版本 -）
应用：linuxcontainers lxc（影响面 Up to (excluding) 3.2.0）
……另有 46 项受影响环境，详见官方公告
解决方案
1、新建Kubernetes1.11或1.12集群。容器服务新创建的1.11或1.12版本的Kubernetes集群已经包含修复该漏洞的Docker版本。
2、升级Docker。升级已有集群的Docker到18.09.2或以上版本。该方案会导致容器和业务中断。、
3、仅升级runc（针对Docker版本17.06）。详情参考：https://help.aliyun.com/document_detail/107320.html
参考信息
http://lists.opensuse.org/opensuse-security-announce/2019-03/msg00044.html
http://lists.opensuse.org/opensuse-security-announce/2019-04/msg00074.html
http://lists.opensuse.org/opensuse-security-announce/2019-04/msg00091.html
http://lists.opensuse.org/opensuse-security-announce/2019-05/msg00060.html
http://lists.opensuse.org/opensuse-security-announce/2019-05/msg00073.html
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。