Podman rootless: containere fără drepturi, dar cu surprize — exploitul Copy Fail

Dezvoltatorii care credeau că containerele rootless în Podman sunt graalul securității ar putea să se așeze. Un cercetător a descoperit o vulnerabilitate amuzantă (dar nu prea) numită Copy Fail, care permite unui atacator din interiorul containerului să copieze fișiere în afară, fără a avea drepturi. Da, exact acel caz când „fără root” nu înseamnă „fără probleme”.

Esența vulnerabilității constă în faptul că, la copierea fișierelor din container pe host cu podman cp, procesul din interior poate manipula sistemul de fișiere astfel încât să înlocuiască fișierul dorit cu o legătură simbolică către date sensibile. Este un atac clasic „symlink”, dar în contextul containerelor rootless pare deosebit de picant: am muncit atât de mult să eliminăm privilegiile, și uite așa.

Dezvoltatorii Podman sunt deja la curent și, cel mai probabil, pregătesc un patch. Până atunci, sfătuim să nu copiați fișiere din containere nesigure fără verificări suplimentare. Sau, ca alternativă, folosiți containere root obișnuite — măcar știți cine e de vină.

Comentariul METABYTE: Și nouă ne plac containerele rootless, dar a avea încredere oarbă în ele e ca și cum ai lăsa cheile în ușă și te bazezi pe onestitatea hoților. La dezvoltare, luați în considerare vectorii de atac, chiar și când credeți că sunteți în siguranță.