KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2025-52565 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
该漏洞与 CVE-2025-31133 的原理相似。runc 在为容器设置 /dev/console 的 bind-mount 时未充分校验目标路径。攻击者可通过路径操控（Path Traversal）将宿主机上的任意文件挂载到容器的 /dev/console，从而实现对宿主机文件的任意写，导致容器逃逸。
KnowSafeACK产品关于 runc的安全问题（CVE-2025-52565）影响声明 https://help.aliyun.com/zh/ack/product-overview/security-advisory-for-cve-2025-31133-cve-2025-52565-and-cve-2025-52881
ACK 提供的已修复漏洞的 containerd 版本如下：
2.1.4.1
1.6.39
社区版本影响范围：
runc v1.2.7 及更早版本
runc v1.3.2 及更早版本
runc v1.4.0-rc.2 及更早版本
社区在下列版本中修复了该问题：
runc v1.2.8
runc v1.3.3
runc v1.4.0-rc.3
影响范围
系统：alibaba_cloud_linux_3 runc（影响面 Up to (excluding) 1.2.5-2.al8）
系统：alibaba_cloud_linux_3_pro runc（影响面 Up to (excluding) 1.2.5-2.al8）
系统：alma_linux_9 runc（影响面 Up to (excluding) 1.2.5-3.el9_6）
系统：alpine_3.22 runc（影响面 Up to (excluding) 1.3.3-r0）
系统：alpine_3.23 runc（影响面 Up to (excluding) 1.3.3-r0）
系统：alpine_3.24 runc（影响面 Up to (excluding) 1.3.3-r0）
系统：amazon_2 runc（影响面 Up to (excluding) 1.3.3-2.amzn2）
系统：amazon_2023 runc（影响面 Up to (excluding) 1.3.3-2.amzn2023.0.1）
……另有 18 项受影响环境，详见官方公告
解决方案
1、官方已经发布安全更新，建议升级至最新版。通过操作系统包管理器安装的Runc或者容器相关依赖等请根据上游操作系统发布的具体安全包版本为准。
2、临时缓解方案：
方案一：使用 rootless 容器。rootless 模式下，runc 将以非 root 的低权限身份运行，可有效阻止大多数针对宿主机 procfs 文件的恶意写入攻击。
方案二：限制使用可信镜像。通过启用安全策略管理中的ACKAllowedRepos策略，限制集群只允许使用来自可信镜像仓库的镜像。同时，基于最小化权限原则确保仅可信人员拥有导入镜像的权限。或者通过使用Notation和Ratify进行OCI制品的加签和验签，确保容器镜像的供应链安全。
方案三：加固 LSM 策略。若正在使用 AppArmor 或 SELinux，请确保安全策略已覆盖关键系统路径，限制不必要的访问。但 CVE-2025-52881 仍可能绕过部分 LSM 保护，建议及时升级运行时版本。
参考信息
https://github.com/opencontainers/runc/commit/01de9d65dc72f67b256ef03f9bfb795a2bf143b4
https://github.com/opencontainers/runc/commit/398955bccb7f20565c224a3064d331c19e422398
https://github.com/opencontainers/runc/commit/531ef794e4ecd628006a865ad334a048ee2b4b2e
https://github.com/opencontainers/runc/commit/9be1dbf4ac67d9840a043ebd2df5c68f36705d1d
https://github.com/opencontainers/runc/commit/aee7d3fe355dd02939d44155e308ea0052e0d53a
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。