KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2025-52881 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
runc是一个CLI工具，用于根据OCI规范生成和运行容器。在1.2.7、1.3.2和1.4.0-rc.2版本中，攻击者可以通过使用具有共享挂载的竞争容器来诱骗runc将对/proc的写入错误地指向其他procfs文件，结合其他漏洞可以导致容器逃逸。
KnowSafeACK产品关于 runc的安全问题（CVE-2025-52565）影响声明 https://help.aliyun.com/zh/ack/product-overview/security-advisory-for-cve-2025-31133-cve-2025-52565-and-cve-2025-52881
ACK 提供的已修复漏洞的 containerd 版本如下：
2.1.4.1
1.6.39
社区版本影响范围：
runc v1.2.7 及更早版本
runc v1.3.2 及更早版本
runc v1.4.0-rc.2 及更早版本
社区在下列版本中修复了该问题：
runc v1.2.8
runc v1.3.3
runc v1.4.0-rc.3
影响范围
系统：alibaba_cloud_linux_3 runc（影响面 Up to (excluding) 1.2.5-2.al8）
系统：alibaba_cloud_linux_3_pro runc（影响面 Up to (excluding) 1.2.5-2.al8）
系统：alma_linux_9 runc（影响面 Up to (excluding) 1.2.5-3.el9_6）
系统：alpine_3.22 runc（影响面 Up to (excluding) 1.3.3-r0）
系统：alpine_3.23 runc（影响面 Up to (excluding) 5.7.0-r0）
系统：alpine_3.24 runc（影响面 Up to (excluding) 5.7.0-r0）
系统：amazon_2 runc（影响面 Up to (excluding) 1.3.2-2.amzn2）
系统：amazon_2023 runc（影响面 Up to (excluding) 1.3.2-2.amzn2023.0.1）
……另有 20 项受影响环境，详见官方公告
解决方案
1、官方已经发布安全更新，建议升级至最新版。通过操作系统包管理器安装的Runc或者容器相关依赖等请根据上游操作系统发布的具体安全包版本为准。
2、临时缓解方案：
方案一：使用 rootless 容器。rootless 模式下，runc 将以非 root 的低权限身份运行，可有效阻止大多数针对宿主机 procfs 文件的恶意写入攻击。
方案二：限制使用可信镜像。通过启用安全策略管理中的ACKAllowedRepos策略，限制集群只允许使用来自可信镜像仓库的镜像。同时，基于最小化权限原则确保仅可信人员拥有导入镜像的权限。或者通过使用Notation和Ratify进行OCI制品的加签和验签，确保容器镜像的供应链安全。
方案三：加固 LSM 策略。若正在使用 AppArmor 或 SELinux，请确保安全策略已覆盖关键系统路径，限制不必要的访问。但 CVE-2025-52881 仍可能绕过部分 LSM 保护，建议及时升级运行时版本。
参考信息
http://github.com/opencontainers/runc/commit/a41366e74080fa9f26a2cd3544e2801449697322
http://github.com/opencontainers/runc/commit/fdcc9d3cad2f85954a241ccb910a61aaa1ef47f3
https://github.com/opencontainers/runc/blob/v1.4.0-rc.2/RELEASES.md
https://github.com/opencontainers/runc/commit/3f925525b44d247e390e529e772a0dc0c0bc3557
https://github.com/opencontainers/runc/commit/435cc81be6b79cdec73b4002c0dae549b2f6ae6d
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。