Kritische Docker Sicherheitslücken erlauben Host System Zugriff

Table of Contents

CVE-2024-21626 betrifft die runc-Software, ein Kommandozeilen-Tool zur Erstellung und Ausführung von Containern auf Linux gemäß der OCI-Spezifikation. Diese Schwachstelle wurde in allen Versionen von runc bis einschließlich Version 1.1.11 entdeckt und ermöglicht unter bestimmten Bedingungen einen Containerausbruch, was Angreifern Zugriff auf das darunterliegende Host-Betriebssystem gewähren kann. Dies kann durch die Ausführung eines bösartigen Images oder durch den Aufbau eines Images mit einer bösartigen Dockerfile oder einem bösartigen Oberbild (z.B. bei Verwendung von FROM) erfolgen. Die Sicherheitslücke ist besonders kritisch, da sie es ermöglicht, von der im Container ausgeführten Umgebung auf das gesamte Host-Dateisystem zuzugreifen und potenziell weitere Angriffe mit Superuser-Rechten zu initiieren​​​​.

Um diese Schwachstelle zu beheben, wurde in runc Version 1.1.12 ein Patch bereitgestellt. Es wird dringend empfohlen, alle Instanzen von runc auf diese oder eine neuere Version zu aktualisieren, sowie alle Software, die von runc abhängt. Darüber hinaus sollten Anwender den Empfehlungen von Softwareanbietern folgen, die runc in ihren Produkten nutzen, insbesondere bei gehosteten Lösungen wie gemanagten Kubernetes-Diensten von bekannten Cloud-Anbietern​​.

Leaky Vessels Schwachstellen

Neben der CVE-2024-21626 existieren noch die Schwachstellen CVE-2024-23651, CVE-2024-23652 und CVE-2024-23653. Diese betreffen BuildKit, ein Toolkit, das von Docker für den effizienten, ausdrucksstarken und wiederholbaren Prozess der Umwandlung von Quellcode in Build-Artefakte genutzt wird. Diese Sicherheitslücken wurden von Snyk entdeckt und könnten unter bestimmten Bedingungen von Angreifern ausgenutzt werden, um aus dem Container auszubrechen und Zugriff auf das Host-Betriebssystem zu erlangen.

CVE-2024-23652 beispielsweise ermöglicht das willkürliche Löschen von Dateien und Verzeichnissen im Host-Betriebssystem während des Build-Prozesses, wenn ein bösartiges Dockerfile oder ein Upstream-Image verwendet wird. Dies geschieht durch den Versuch von BuildKit, temporär hinzugefügte Verzeichnisse nach ihrer Nutzung zu säubern, was bei Fehlkonfigurationen zu unbeabsichtigtem Löschen führen kann. Snyk empfiehlt dringend, alle Instanzen von BuildKit auf Version v0.12.5 oder später zu aktualisieren, um sich vor diesen Sicherheitslücken zu schützen​​.

Diese Sicherheitslücken, zusammen mit CVE-2024-21626, wurden als “Leaky Vessels” bezeichnet und könnten es Angreifern ermöglichen, unbefugten Zugang zum darunterliegenden Host-Betriebssystem zu erhalten. Es gibt Stand Februar 2024 keine Beweise dafür, dass diese Schwachstellen bisher ausgenutzt wurden.

Tags :

Related Posts

Kritische Sicherheitslücke bei VMware wird aktiv ausgenutzt

Im Jahr 2024 stand VMware aufgrund von Sicherheitslücken in seinen Produkten, insbesondere im vCenter Server und in Aria Automation, vor erheblichen Sicherheitsherausforderungen. Diese Schwachstellen wurden in Cyberangriffen ausgenutzt, insbesondere Chinesische organisierte Hackergruppe UNC3886 steht im Verdacht, die Zero-Day Vulnerabililties gezielt seit 2 Jahren auszunutzen. Diese Gruppe ist dafür bekannt, Sicherheitslücken in Technologien auszunutzen, die keine Endpoint Detection and Response (EDR) Lösungen unterstützen, um unentdeckt zu bleiben.

Read More

Emails Microsoft Top-Managern wochenlang russischen Hackern zugänglich

Ein russischer Hackerangriff, bekannt unter dem Namen Midnight Blizzard, hat Zugang zu E-Mail-Konten führender Microsoft-Manager erlangt. Der Angriff, der von Microsoft am 12. Januar 2024 entdeckt wurde, nutzte eine “Password Spray Attack” Methode, um sich Zugang zu einem “Legacy”-Konto zu verschaffen und darüber weitere Unternehmens-E-Mail-Konten zu infiltrieren. Betroffen waren unter anderem Mitglieder des Senior Leadership Teams sowie Mitarbeiter aus den Bereichen Cybersicherheit, Recht und weiteren Funktionen. Microsoft betonte, dass keine Kundendaten oder KI-Systeme betroffen waren​​.

Read More

Volt Typhoon Botnet bedroht WLAN Router

Die Cybersecurity and Infrastructure Security Agency (CISA) und das FBI haben vor der Bedrohung durch die Gruppe “Volt Typhoon” gewarnt, die besonders kleine Small Offices/Home Offices (SOHO) Router angreift. Diese staatlich unterstützte Hackergruppe aus China nutzt Schwachstellen in SOHO Routern, um Angriffe auf kritische Infrastrukturen in den USA zu starten. Hersteller von SOHO-Routern werden dazu aufgerufen, Sicherheitslücken bereits in der Entwicklungsphase ihrer Produkte zu schließen und Sicherheitsupdates automatisch zu implementieren. Ziel ist es, die Geräte so zu konfigurieren, dass Sicherheitseinstellungen nicht ohne manuelle Überprüfung deaktiviert werden können und der Zugriff auf die Web-Management-Schnittstellen (WMIs) der Router nur von Geräten im lokalen Netzwerk aus möglich ist​​​​.

Read More