Une vulnérabilité sous Docker permettrait de s’affranchir du conteneur et obtenir les droits d'administrateur

Une vulnérabilité considérée comme importante a été publiée le lundi 11 février par Aleksa Sarai, ingénieure chez SUSE Linux Gmbh, attribuant cette découverte à deux chercheurs : Adam Iwaniul et Borys Poplawski. Celle-ci concerne la composante runC de Docker. Un attaquant pourrait l’exploiter afin d’obtenir les droits d’administrateur sur la machine hôte. Cette attaque serait complexe à mettre en œuvre mais nécessite un niveau d’authentification faible. L’impact estimé sur la confidentialité, l’intégrité et la disponibilité est élevé. Au vu de la popularité de Docker, cette vulnérabilité est susceptible d’impacter les infrastructures cloud telles qu’Amazon, Google Cloud, etc.

Docker est une plateforme logicielle de code ouvert permettant de créer, de déployer et de gérer des conteneurs d’applications virtualisées sur différents systèmes d’exploitation. Les services ou fonctions de l’application ainsi que ses bibliothèques, fichiers de configuration, dépendances et autres composants sont regroupés au sein d’un conteneur. Ces conteneurs sont exécutés en partageant les services du système d’exploitation.

runC est la composante qui permet d’instancier le conteneur Linux. Celle-ci va influencer directement le fonctionnement de libcontainer, la partie du code permettant de faciliter les interactions avec le noyau Linux, sans passer par le moteur de Docker.

SELinux (Security Enhanced Linux) est un module Linux (LSM) qui permet de définir des politiques de contrôle d’accès liées aux éléments du système Linux.

Détails techniques

CVE-2019-5736 [CVSS v3 8.6] La vulnérabilité permettrait d'obtenir des accès en tant qu'administrateur sur la machine hôte de Docker. En effet, lorsqu’un processus est lancé avec les droits administrateurs (UID 0) dans le conteneur, celui-ci pourra exploiter un bug dans runC, ce qui lui permettra ainsi d'obtenir des accès en tant qu'administrateur sur la machine hôte. De ce fait, l’attaquant aura accès à toutes les ressources de la machine hôte, incluant les autres conteneurs instanciés. L'erreur informatique en question permettrait de remplacer le binaire runC du système hôte permettant ainsi l’accès administrateur. Il semblerait que les OS RedHat Enterprise Linux et CentOS soient protégés par une politique de sécurité par défaut de SELinux. La source la plus probable d'attaque serait vraisemblablement les conteneurs malveillants non vérifiés, présents dans certains dépôts publics.

Des correctifs ont été publiés par Docker sur GitHub, par l'équipe en charge de maintenir runC. Les utilisateurs de runC sont donc invités à mettre à jour leurs versions de Docker/Kubernetes pour corriger cette vulnérabilité. Concernant les distributions ayant activé SELinux, celles-ci sont normalement déjà protégées.