Se han descubierto múltiples vulnerabilidades de seguridad en la herramienta runC. Estas debilidades podrían ser aprovechadas por actores malintencionados para evadir los límites del contenedor y llevar a cabo ataques posteriores.
Vulnerabilidades identificadas
Las vulnerabilidades identificadas son CVE-2024-21626, CVE-2024-23651, CVE-2024-23652 y CVE-2024-23653. Estas fugas de contenedores podrían permitir a los atacantes obtener acceso no autorizado al sistema operativo subyacente desde dentro del contenedor.
Las vulnerabilidades han sido agrupadas bajo el nombre «Leaky Vessels» por Snyk. Según un informe compartido con The Hacker News, estas fugas de contenedores podrían permitir a los atacantes obtener acceso no autorizado al sistema operativo subyacente desde dentro del contenedor, posiblemente comprometiendo datos sensibles como credenciales y la información del cliente.
Detalles técnicos de las vulnerabilidades
- CVE-2024-21626 (CVSS: 8.6): Fuga de contenedor relacionada con el comando WORKDIR en runC.
- CVE-2024-23651 (CVSS: 8.7): Fuga de contenedor debido a una condición de carrera en tiempo de compilación.
- CVE-2024-23652 (CVSS: 10.0): Eliminación arbitraria de contenedor Buildkit en tiempo de compilación.
- CVE-2024-23653 (CVSS: 9.8): Comprobación de privilegios GRPC SecurityMode que permite la fuga de contenedor en tiempo de compilación.
La vulnerabilidad más grave es CVE-2024-21626, que podría resultar en una fuga de contenedor centrada en el comando WORKDIR.
Estado actual y mitigaciones
Hasta la fecha, no hay evidencia de que estas vulnerabilidades hayan sido explotadas en la naturaleza. Se han abordado en la versión 1.1.12 de runC, lanzada hoy como respuesta a una divulgación responsable en noviembre de 2023.
Snyk recomienda a los usuarios verificar las actualizaciones de los proveedores de entornos de ejecución de contenedores, como Docker, Kubernetes, servicios de contenedores en la nube y comunidades de código abierto, ya que estas vulnerabilidades afectan a componentes ampliamente utilizados.
Comunicaciones de los proveedores
Docker, en un aviso independiente, indicó que las vulnerabilidades solo pueden ser explotadas si un usuario interactúa activamente con contenido malicioso durante el proceso de compilación o al ejecutar un contenedor desde una imagen falsa.
Amazon Web Services (AWS) y Google Cloud también han emitido alertas, instando a los clientes a tomar las medidas necesarias para mitigar los riesgos.