CVE-2024-21626

Nome do Software Vulnerável e Versões Afetadas runc versões 1.0.0-rc93 até 1.1.11 containerd versões 1.4.7 até 1.6.27 containerd versões 1.7.0 até 1.7.12 Docker versões 20.10.8 até 24.0.8 Docker versões 24.0.9 até 25.0.2

Description Um vazamento interno de descritor de arquivo no runc, uma ferramenta de CLI para gerar e executar contêineres no Linux de acordo com a especificação OCI, permite múltiplas evasões de contêiner. O problema ocorre porque um descritor de arquivo permanece aberto durante a operação setcwd(2), mesmo quando O CLOEXEC é usado em todos os descritores antes da execução do código do contêiner. Um invasor pode manter uma referência ao sistema de arquivos do host configurando o diretório de trabalho para um caminho resolvido através desse descritor vazado. Isso pode ser explorado via runc exec para definir um diretório de trabalho no namespace do sistema de arquivos do host ou via uma imagem maliciosa usando runc run para obter acesso ao sistema de arquivos do host. Além disso, esses métodos podem ser usados para sobrescrever binários do host semi-arbitrários, permitindo a evasão completa do contêiner e a execução de código arbitrário no host.

Recommendations Atualizar o runc para a versão 1.1.12. Atualizar o containerd para a versão 1.6.28 ou 1.7.13. Atualizar o Docker para a versão 24.0.9 ou 25.0.2. Como mitigação temporária, feche todos os descritores de arquivo desnecessários para evitar que o vazamento seja explorado.