您的位置:首页>>互联网

阻击RunC逃逸漏洞 华为云容器为您支招

发布时间:2019-02-14 16:55:13  来源:互联网    采编:孙月  背景:

  RunC容器逃逸漏洞(CVE-2019-5736)暴露这几天,各云容器服务供应商纷纷提供了各自的解决方案,相对于业内普遍要求用户中断业务,升级Docker最新版本的有损升级方案,华为云容器服务提供了最省心的在线无损升级解决方案。

  背景信息

  基于RunC运行时的容器存在安全漏洞,攻击者可以通过恶意容器镜像等方式获取宿主机root执行权限。

  漏洞原理分析

  本次漏洞典型的攻击方式是通过恶意镜像:在恶意镜像中,将攻击函数隐藏在恶意动态库如(libseccomp.so.2)中,并使执行命令指向/proc/self/exe。当RunC动态编译时,会从容器镜像中载入动态链接库,导致加载恶意动态库;当打开/proc/self/exe即RunC时,会执行恶意动态链接库中的恶意程序,由于恶意程序继承RunC打开的文件句柄,可以通过该文件句柄替换host上的RunC。此后,再次执行RunC相关的命令,则会产生逃逸。

  影响范围

  本次漏洞对所有采用RunC的容器引擎均生效,RunC是Docker容器的核心组件,因此对绝大部分容器均会产生影响。其中主要影响的是多用户共享节点的场景,可导致某用户通过渗透进而控制节点并攻击整集群。

  华为云CCE容器服务: CCE容器服务创建的Kubernetes集群属于单租户专属,不存在跨租户共享,影响范围较小,对于多用户场景需要关注。

  CCE采用的是华为自研的iSula Docker容器,其中RunC采用静态编译方式载入依赖库,因此目前公开披露的攻击方式无法入侵。

  但为确保容器服务运行更安全,CCE容器服务仍将在近日完成现网Docker容器的自动热升级,用户无需任何手动操作,且升级过程对运行中的容器业务无影响。

  华为云CCI容器实例服务: CCI引擎采用华为iSula Kata容器引擎,提供单节点上多容器高安hypervisor级别的隔离能力,并没有采用RunC容器,因此本次漏洞将不会对CCI产生影响。

  修复方法

  华为云CCE容器服务:

  近日CCE容器服务会对运行的Docker进行无损热升级,包含正在运行的1.11.2, 17.06等历史版本均会提供对应补丁版本,无需更新到18.09版本,已运行容器将不受影响,请各位关注升级公告。

  自建Kubernetes或使用开源容器引擎:

  升级Docker到18.09.2版本, 由于开源Docker在17.06之后的版本做了较大变更,涉及架构解耦重构,该办法可能会导致用户容器业务中断,建议做好充分验证,并按节点逐步滚动升级。

  仅升级RunC,对于17.06等Docker版本,可以不中断已运行业务,当前RunC官方尚未发布包含漏洞修复补丁的新版本,如果要单独升级RunC,用户可自行编译。

  另特别提醒,本次Docker官方补丁使用了高版本Linux内核的系统调用,在低版本内核部分版本上可能会失效,若补丁失效时,建议升级至3.17以上内核。华为云CCE容器服务提供的补丁针对官方补丁进行了优化适配,已验证在多版本内核上均可生效。




关注ITBear科技资讯公众号(itbear365 ),每天推送你感兴趣的科技内容。

特别提醒:本网内容转载自其他媒体,目的在于传递更多信息,并不代表本网赞同其观点。其原创性以及文中陈述文字和内容未经本站证实,对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺,并请自行核实相关内容。本站不承担此类作品侵权行为的直接责任及连带责任。如若本网有任何内容侵犯您的权益,请及时联系我们,本站将会在24小时内处理完毕。


返回网站首页 本文来源:互联网

本文评论
2019世界地球日 来看看互联网公司都做了什么?
  1970年的4月22日,美国各地超2000万人组织了声势浩天的游和集会,呼吁人们对环境的保护和对地球资源...
日期:04-23
“围鲲救鳗”成时下最火热词,百度贴吧讨论量直奔千万
最近几天,又有一个热词火遍了全网络,百度贴吧讨论量更是直奔千万,那就是从百度贴吧诞生的“...
日期:04-22
东方明珠九号卡丁体验中心盛大开业 探索全新服务模式
4月21日,位于上海东方明珠塔的九号卡丁体验中心正式投入运营。开业当天,现场活动高潮迭起、惊喜不断...
日期:04-22
《向往的生活》第三季剧透:除了黄磊、何炅、彭昱畅 还有新人“小度”?
终于,《向往的生活第三季》要在4月8日正式回归了,跟去年形式一样,明星们远离城市的喧嚣,一起拙...
日期:04-21
传百度赞助《向往的生活》 引发网友三大猜想
4月21日,在湖南卫视《向往的生活》第三季媒体看片会后,有网友爆出,百度是本季《向往的生活》赞助...
日期:04-21
再次爆发!FGS伦敦赛17头名出线
自4月16日以来,绝地求生全球巅峰联赛Faceit Global Summit)在伦敦正式开赛。在经过了三日的循环赛...
日期:04-20
语言智能的发展近期又有哪些突破?来听百度王海峰的最新演讲
“理解和运用自然语言是人工智能的核心问题之一。大数据、机器学习、深度学习和知识图谱等技术...
日期:04-20
AI DAY惊现“异形”?原来是百度大脑的AR能力在“作怪”
4月19日,高通在深圳举办了一年一度的“Qualcomm人工智能开放日”(又称AI DAY)。其中,一...
日期:04-20
英特尔“退群”背后的5G之战
美国当地时间4月16日,此前一直“忙于法院见”的苹果与高通在圣地亚哥联邦法院达成和解协...
日期:04-20
思岚科技发布新品雷达RPLIDAR S1,测距可达40米
2019年4月17日,专注于机器人自主定位导航领域的思岚科技,对外发布其最新一代激光雷达产品RPLIDAR ...
日期:04-19
三星Galaxy A70首销火爆,斩获苏宁手机销量王
4月18日,三星Galaxy A70新品首销当天,苏宁易购举办三星超级新品日,为消费者带来更多的福利。4月1...
日期:04-19
为什么大家都喜欢跟小度“唠嗑”?百度地图AI加持长语音识别更准确
在经历了五一假期“升级”后,凑够四天的小惊喜勾起了许多人外出游玩的心。那么如何在旅...
日期:04-19
WPS上架Mac苹果商店首日便登顶,一场源自用户的胜利!
北京时间4月19日凌晨,WPS Office for Mac版正式登陆苹果Mac App Store应用商店一天后,直接跃升至...
日期:04-19
智能音箱三巨头差距缩小 百度出货量环比增速第一
Canalys日前发布报告称,全球智能音箱的出货量有望于2019年达到2亿。中国智能音箱出货量有望于2019...
日期:04-19
禧云国际联合团餐谋发布《中国团餐行业信息化发展报告》
4月14日,在杭州举办的2019中国国际团餐产业大会上,禧云国际联合团餐谋发布了《中国团餐行业信息化...
日期:04-19
复联4唤醒宝爸英雄情结 漫威系列玩具同比增长826%
苏宁418大促热度一直居高不下。苏宁大数据显示,母婴家庭趁机囤货,奶粉尿裤销量再创新高。复仇者联...
日期:04-19
一夜之间5G芯片格局大变:天下五分 中国已有其三!
2019年4月17日,科技界发生了三件与5G手机基带芯片相关大事:1、高通与苹果之间的专利授权纠纷终于...
日期:04-19
让AI无所不及,华为云EI使能行业智能化转型
日前,华为第十六届全球分析师大会在中国深圳召开。在“让Cloud无处不在,让AI无所不及”...
日期:04-18
奔驰漏油和996哪个事儿更大?巴黎圣母院:都不大…
  最近几天,热搜上的“瓜”可谓是一个接一个,热点目不暇接,究竟谁拯救了谁,成为吃瓜群众们津津乐道的话题。
日期:04-17