KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2025-31133 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
该漏洞利用 runc 中 maskedPaths（路径掩码）实现机制的一个缺陷。攻击者可在特定条件下，将容器内的 /dev/null 替换为一个指向宿主机 /proc 目录下敏感文件的符号链接（symlink）。这可能导致关键系统文件被意外挂载为可写，从而被攻击者利用实现容器逃逸。此外，如果攻击者删除 /dev/null，runc 的错误处理逻辑可能导致敏感内核信息泄露。
KnowSafeACK产品关于 runc的安全问题（cve-2025-311336）影响声明 https://help.aliyun.com/zh/ack/product-overview/security-advisory-for-cve-2025-31133-cve-2025-52565-and-cve-2025-52881
ACK 提供的已修复漏洞的 containerd 版本如下：
2.1.4.1
1.6.39
社区版本影响范围：
runc v1.2.7 及更早版本
runc v1.3.2 及更早版本
runc v1.4.0-rc.2 及更早版本
社区在下列版本中修复了该问题：
runc v1.2.8
runc v1.3.3
runc v1.4.0-rc.3
影响范围
系统：alibaba_cloud_linux_3 runc（影响面 Up to (excluding) 1.2.5-2.al8）
系统：alibaba_cloud_linux_3_pro runc（影响面 Up to (excluding) 1.2.5-2.al8）
系统：alma_linux_9 runc（影响面 Up to (excluding) 1.2.5-3.el9_6）
系统：alpine_3.22 runc（影响面 Up to (excluding) 1.3.3-r0）
系统：alpine_3.23 runc（影响面 Up to (excluding) 1.3.3-r0）
系统：alpine_3.24 runc（影响面 Up to (excluding) 1.3.3-r0）
系统：amazon_2 runc（影响面 Up to (excluding) 1.3.3-2.amzn2）
系统：amazon_2023 runc（影响面 Up to (excluding) 1.3.3-2.amzn2023.0.1）
……另有 19 项受影响环境，详见官方公告
解决方案
1、官方已经发布安全更新，建议升级至最新版。通过操作系统包管理器安装的Runc或者容器相关依赖等请根据上游操作系统发布的具体安全包版本为准。
2、临时缓解方案：
方案一：使用 rootless 容器。rootless 模式下，runc 将以非 root 的低权限身份运行，可有效阻止大多数针对宿主机 procfs 文件的恶意写入攻击。
方案二：限制使用可信镜像。通过启用安全策略管理中的ACKAllowedRepos策略，限制集群只允许使用来自可信镜像仓库的镜像。同时，基于最小化权限原则确保仅可信人员拥有导入镜像的权限。或者通过使用Notation和Ratify进行OCI制品的加签和验签，确保容器镜像的供应链安全。
方案三：加固 LSM 策略。若正在使用 AppArmor 或 SELinux，请确保安全策略已覆盖关键系统路径，限制不必要的访问。但 CVE-2025-52881 仍可能绕过部分 LSM 保护，建议及时升级运行时版本。
参考信息
https://github.com/opencontainers/runc/commit/1a30a8f3d921acbbb6a4bb7e99da2c05f8d48522
https://github.com/opencontainers/runc/commit/5d7b2424072449872d1cd0c937f2ca25f418eb66
https://github.com/opencontainers/runc/commit/8476df83b534a2522b878c0507b3491def48db9f
https://github.com/opencontainers/runc/commit/db19bbed5348847da433faa9d69e9f90192bfa64
https://github.com/opencontainers/runc/security/advisories/GHSA-9493-h29p-rfm2
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。