San cr8escape, che scappava dal contenitore

Patrono dei container, dei parametri del kernel passati di nascosto e dei cluster condivisi.

Vita

Il 15 marzo 2022 CrowdStrike rivelò cr8escape, la CVE-2022-0811 nel runtime per container CRI-O. Impostando di nascosto certi parametri del kernel al momento di creare un pod, chiunque potesse avviare un contenitore su un cluster Kubernetes che usava CRI-O poteva evadere dal container ed eseguire codice come root sul nodo. Un prigioniero che si riscriveva da solo le regole della cella.

Preghiera

O San cr8escape, che scavalchi le pareti del contenitore, fa' che i nostri runtime non lascino toccare i parametri del kernel. Amen.

Come si festeggia

Si festeggia aggiornando CRI-O alle versioni corrette e vietando ai pod di impostare sysctl arbitrari.

Container che riscrive le regole, nodo che cambia padrone.