与runc相关的“Leaky Vessels”威胁容器安全
内容提要
Synk发现了Kubernetes和Docker容器中的四个漏洞，称为“Leaky Vessels”，对容器化环境构成高威胁。漏洞存在于runc中，容器逃逸，允许攻击者在主机上执行恶意代码。建议升级runc和Docker版本，使用可信的镜像降低风险。
延伸解读
漏洞影响范围与严重性
Leaky Vessels包含四个漏洞，存在于runc和BuildKit中，影响Docker和Kubernetes容器环境。其中CVE-2024-23652的CVSS评分为10，属于严重级别，可能允许攻击者删除主机文件；CVE-2024-23653评分为9.8，可导致容器逃逸。这些漏洞可能使攻击者获得主机文件系统访问权限，进而危及整个系统。
修复版本与缓解措施
针对这些漏洞，建议将runc升级到1.1.12或更高版本，Docker升级到23.0.1或更高版本，BuildKit升级到0.12.5或更高版本。此外，使用来自可信注册表的预构建镜像可以降低CVE-2024-21626的风险。及时打补丁是防止漏洞利用的关键步骤。
额外安全防护建议
除了打补丁，采用先进的云安全解决方案如AccuKnox Zero Trust可提供额外保护。通过自动生成的策略实现最小权限，并持续监控和实时行为洞察，可以防止漏洞被利用。例如，硬化策略可以限制root权限进程的操作，并在异常事件发生时触发缓解措施。
Q&A
什么是“Leaky Vessels”漏洞？
“Leaky Vessels”是指在Kubernetes和Docker容器中发现的四个高威胁漏洞，主要存在于runc中，允许攻击者执行恶意代码。
这些漏洞的CVSS评分是多少？
漏洞的CVSS评分分别为CVE-2024-21626（8.6）、CVE-2024-23651（8.7）、CVE-2024-23652（10）和CVE-2024-23653（9.8）。
如何降低这些漏洞带来的风险？
建议升级runc到1.1.12或更高版本，Docker到23.0.1或更高版本，并使用可信的预构建镜像。
CVE-2024-21626漏洞的主要影响是什么？
CVE-2024-21626允许未经授权的用户访问主机操作系统的文件系统，可能导致容器逃逸。
CVE-2024-23651漏洞是如何被利用的？
CVE-2024-23651利用了Docker版本低于23.0.1的符号链接竞争条件，攻击者可以通过此漏洞访问主机文件。
AccuKnox Zero Trust如何增强容器安全？
AccuKnox Zero Trust通过自动生成的策略实现最小权限，提供持续监控和实时行为洞察，防止漏洞被利用。
