安全研究员发现漏洞群，允许黑客逃离 Docker 和 runc 容器
内容提要
Snyk安全研究员发现了四个名为'Leaky Vessels'的漏洞群，允许攻击者逃离容器并访问底层主机操作系统上的数据。修复措施已发布，包括Buildkit 0.12.5版本和runc 1.1.12版本。亚马逊、谷歌和Ubuntu也发布了安全公告。CISA敦促云系统管理员采取措施保护系统。
延伸解读
漏洞影响范围与潜在风险
由于Docker和Kubernetes等主流容器平台依赖runc和Buildkit，这些漏洞影响广泛。攻击者可能利用漏洞实现容器逃逸，访问主机操作系统数据，甚至危及整个系统。虽然尚未发现野外利用，但风险不容忽视，管理员应尽快评估自身环境是否受影响。
漏洞技术细节与利用条件
四个漏洞分别涉及runc的WORKDIR操作顺序、Buildkit的挂载缓存竞争条件、容器拆卸阶段任意文件删除以及GRPC接口权限检查不足。这些漏洞可能被组合利用，导致权限提升、数据泄露或拒绝服务。了解具体机制有助于针对性防护。
修复措施与升级建议
官方已发布修复版本：Buildkit 0.12.5和runc 1.1.12，Docker 4.27.0也集成了安全组件。亚马逊、谷歌和Ubuntu发布了安全公告。建议用户尽快升级到这些版本，并关注CISA的警报，采取额外防护措施。
Q&A
Leaky Vessels漏洞是什么？它有什么危害？
Leaky Vessels是Snyk安全研究员Rory McNamara于2023年11月发现的四个漏洞群，允许攻击者逃离容器并访问底层主机操作系统上的数据。这些漏洞主要影响runc和Buildkit容器基础架构和构建工具，可能导致容器逃逸，使攻击者未经授权访问主机系统或其他容器。
Leaky Vessels包含哪些CVE漏洞？各自的原因是什么？
包含四个CVE：CVE-2024-21626源于runc中WORKDIR命令的操作顺序漏洞；CVE-2024-23651是Buildkit挂载缓存处理中的竞赛条件；CVE-2024-23652允许在Buildkit容器拆卸阶段任意删除文件或目录；CVE-2024-23653源于Buildkit的GRPC接口权限检查不足。
如何修复Leaky Vessels漏洞？有哪些版本更新？
修复措施已发布：Buildkit升级到0.12.5版本，runc升级到1.1.12版本。Docker发布了4.27.0版，包含Moby引擎25.0.1和24.0.8。亚马逊网络服务、谷歌云和Ubuntu也发布了安全公告，指导用户采取适当步骤。
哪些平台或产品受到Leaky Vessels漏洞的影响？
漏洞影响runc和Buildkit，而Docker和Kubernetes等流行容器管理软件都在使用它们，因此影响范围广泛。此外，亚马逊网络服务、谷歌云和Ubuntu等云服务和Linux发行版也受到影响。
Leaky Vessels漏洞是否已被在野利用？
安全研究员没有发现泄漏容器漏洞在野外被积极利用的迹象，但还是建议所有受影响的系统管理员尽快应用可用的安全更新。
CISA对Leaky Vessels漏洞采取了什么行动？
CISA发布了一份警报，敦促云系统管理员采取适当措施，确保其系统免受潜在攻击。
