ثغرة runc: حاوية تستولي على الخادم
ثغرة في runc، الذي يستخدمه Docker وKubernetes، تتيح لحاوية خبيثة صلاحيات root على الخادم. حدّث هذا الأسبوع.
أُعلن الأسبوع الماضي عن ثغرة حرجة في runc (CVE-2019-5736)، الأداة منخفضة المستوى التي يستخدمها Docker وcontainerd وKubernetes وغيرها لتشغيل الحاويات. حاوية خبيثة، أو صورة خبيثة، تستطيع استبدال ملف runc على الخادم والحصول على صلاحيات root على الجهاز كله.
كثيرًا ما تُعامل الحاويات كحدّ أمني. هذا تذكير بأنها تتشارك نواة الخادم وأدواته.
ماذا تفعل:
- حدّث Docker أو containerd أو runc عبر توزيعتك أو مزوّدك. مزوّدو Kubernetes المُدار ينشرون الإصلاح أيضًا.
- شغّل فقط الصور التي تثق بها، من سجلك الخاص أو من ناشرين موثَّقين.
- لا تشغّل الحاويات بصلاحية root بداخلها. استخدم user namespaces حيث تستطيع.
- أبقِ SELinux أو AppArmor مفعّلين. في بعض الإعدادات يمنعان هذا الهجوم.
افصل الأحمال التي تحتاج عزلًا حقيقيًا على خوادم أو أجهزة افتراضية منفصلة.