KnowSafe 安全预警：Docker 容器逃逸漏洞（CVE-2020-15257）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2020-15257 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

containerd是美国阿帕奇（Apache）基金会的一个容器守护进程。该进程根据 RunC OCI 规范负责控制宿主机上容器的完整周期。

在版本1.3.9和1.4.3之前的containerd中，containerd-shim API被不正确地暴露给主机网络容器。shim API套接字的访问控制验证了连接进程的有效UID为0，但没有以其他方式限制对抽象Unix域套接字的访问。这将允许在与shim相同的网络名称空间中运行恶意容器（有效UID为0，但特权降低），从而导致新进程以提升的特权运行。

影响范围

应用：linuxfoundation containerd（影响面 Up to (excluding) 1.3.9）

应用：linuxfoundation containerd（影响面 Up to (excluding) 1.4.3）

系统：alpine_3.11 containerd（影响面 Up to (excluding) 1.3.9-r0）

系统：alpine_3.12 docker（影响面 Up to (excluding) 19.03.14-r0）

系统：alpine_3.13 k3s（影响面 Up to (excluding) 19.03.14-r0）

系统：alpine_3.14 k3s（影响面 Up to (excluding) 19.03.14-r0）

系统：alpine_3.15 k3s（影响面 Up to (excluding) 19.03.14-r0）

系统：alpine_3.16 k3s（影响面 Up to (excluding) 19.03.14-r0）

……另有 14 项受影响环境，详见官方公告

解决方案

升级该组件至最新的可用版本。

在未升级的情况下，可以采取以下一些防御措施：

1.请勿使用docker run --net = host运行docker容器。

2.请勿以root用户运行容器。

参考信息

https://github.com/containerd/containerd/commit/4a4bb851f5da563ff6e68a83dc837c7699c469ad

https://github.com/containerd/containerd/releases/tag/v1.4.3

https://github.com/containerd/containerd/security/advisories/GHSA-36xw-fx78-c5r4

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/LNKXLOLZWO5FMAPX63ZL7JNKTNNT5NQD/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/LNKXLOLZWO5FMAPX63ZL7JNKTNNT5NQD/

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。