云小课｜Runc容器逃逸漏洞（CVE-2024-21626）安全风险通告
内容提要
华为云主机安全服务团队发现runc容器逃逸漏洞，已发布安全更新修复漏洞，建议用户及时升级。华为云主机安全服务提供漏洞扫描和入侵检测功能，降低被攻击风险。
延伸解读
漏洞影响范围与升级建议
该漏洞影响 runc 1.0.0-rc93 至 1.1.11 版本。攻击者利用此漏洞可导致容器逃逸，进而获取宿主机权限。官方已发布补丁版本 1.1.12，建议用户及时升级以修复漏洞。
漏洞复现与风险验证
华为云主机安全服务团队已在 Docker 容器环境下成功复现该漏洞。通过配置特殊 workdir 路径，攻击者可在容器内读取宿主机文件内容，证实了漏洞的实际风险。
华为云 HSS 防护方案
华为云主机安全服务（HSS）提供应急漏洞扫描和入侵检测功能。用户可通过控制台进行漏洞扫描，并查看安全告警事件，以检测和预防容器逃逸攻击。
Q&A
CVE-2024-21626 是什么漏洞？
CVE-2024-21626 是 runc 的一个容器逃逸漏洞，攻击者利用该漏洞可以导致容器逃逸，进而获取宿主机的权限。
哪些 runc 版本受到这个漏洞的影响？
受影响版本范围为 1.0.0-rc93 至 1.1.11（包含 1.1.11）。
如何修复 runc 容器逃逸漏洞？
建议用户升级到 runc 最新版本 1.1.12，官方已发布安全更新修复该漏洞。
华为云主机安全服务（HSS）如何帮助检测这个漏洞？
HSS 的应急漏洞扫描功能已支持 runc 容器逃逸漏洞检测，可以检测当前主机是否存在容器逃逸利用的风险。用户登录 HSS 控制台，在“风险预防>漏洞管理”中选择“漏洞视图>应急漏洞”，对 runc 漏洞执行“立即扫描”即可。
HSS 能否在漏洞被利用时发出告警？
可以。HSS 已更新 HIPS 实时告警检测规则，在检测到漏洞利用后会进行告警。用户可在 HSS 控制台的“入侵检测>安全告警事件”中，选择“主机安全告警”页签，在“系统异常行为>文件提权”下查看 workdir 参数进行容器逃逸的告警。
runc 是什么？它在容器生态中起什么作用？
runc 是一个根据 OCI（Open Container Initiative）标准创建并运行容器的 CLI 工具，目前 Docker、Containerd、CRI-O 和 Podman 等容器都运行在 runc 之上。
