【云安全】云原生-Docker（五）容器逃逸之漏洞利用

漏洞利用逃逸

通过漏洞利用实现逃逸，主要分为以下两种方式：

1、操作系统层面的内核漏洞

这是利用宿主机操作系统内核中的安全漏洞，直接突破容器的隔离机制，获得宿主机的权限。

攻击原理：容器本质上是通过 Linux 的 cgroups 和 namespace 提供隔离，而这些功能依赖于内核。因此，内核漏洞可能被用来突破隔离，攻击者可以直接访问宿主机。

常用漏洞：

Dirty COW (CVE-2016-5195)：Linux 内核的写时复制 (Copy-On-Write) 漏洞，攻击者可以通过漏洞实现提权，影响宿主机。
OverlayFS 漏洞 (如 CVE-2021-3493)：OverlayFS 文件系统中的权限校验漏洞，允许容器突破文件系统限制访问宿主机。
权限提升漏洞 (如 CVE-2022-0847)：又名"Dirty Pipe"，允许攻击者通过文件写入操作实现提权。
其它：CVE-2019-16884、CVE-2021-22555、CVE-2022-0492、CVE-2022-23222等

系统内核漏洞并非 Docker 容器逃逸的"专属"利用方式，而是通用的一种权限提升技术。在 Web 安全或本地提权攻击场景中，内核漏洞同样可以被用来获取更高的系统权限。本章节属于云安全Docker内容，因此，内核漏洞的利用本文不做具体讨论。

2、Docker自身版本漏洞

Docker 本身作为容器管理工具，可能存在漏洞或实现上的不足，攻击者可以通过漏洞逃逸出容器环境，直接控制宿主机。

常用漏洞：

CVE-2019-5736

攻击者通过覆盖容器内的 runc 二进制文件，可以执行任意代码并控制宿主机。

利用条件

（1）版本：Docker version <= 18.09.2，RunC version <= 1.0-rc6

（2）需要管理员再次进入容器触发

漏洞复现

a.首先卸载原有docker

复制代码

sudo apt-get purge -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin docker-ce-rootless-extras
sudo rm -rf /var/lib/docker
sudo rm -rf /var/lib/containerd
sudo rm /etc/apt/sources.list.d/docker.list
sudo rm /etc/apt/keyrings/docker.asc

b.安装漏洞对应版本

复制代码

apt-get update
apt-get install -y apt-transport-https ca-certificates curl software-properties-common
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo apt-key add -
add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable"
apt-get update
apt-cache madison docker-ce
apt-get install docker-ce=18.06.1~ce~3-0~ubuntu

c.编译exp ，项目地址

复制代码

https://github.com/Frichetten/CVE-2019-5736-PoC/blob/master/main.go

下载EXP后修改

使用如下命令进行编译EXP

复制代码

CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build main.go

d.准备另一台主机进行监听，上传EXP到容器，执行

e. 模拟管理员进入容器，触发EXP执行，成功反弹shell，复现完毕

模拟实战

受害者搭建网站

攻击者发现存在 Spring Cloud Gateway 命令执行漏洞

发现是容器root权限

植入内存马，使用哥斯拉连接

使用哥斯拉的远程下载功能，下载EXP，并赋予执行权限

监听、执行→管理员进入容器→成功逃逸

CVE-2020-15257

该漏洞出现在 containerd 的 CRI plugin（容器运行时接口插件）中。攻击者可以通过创建特定配置的容器，将 cgroups（控制组）的 pids.max 参数设置为无效值。当 containerd 尝试写入这个值时，会导致内核返回错误。这可能使 containerd 的内部机制中断，从而允许攻击者进一步利用该错误实现权限提升。

利用条件

（1）版本：containerd < 1.4.3，containerd < 1.3.9（不含1.3.9 和 1.4.3）

（2）容器权限为root，且以 --net=host 模式启动

模拟复现

a. 受害者安装的containerd版本为漏洞版本

复制代码

apt-get update
apt-get install ca-certificates curl software-properties-common
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | apt-key add -
add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/ubuntu xenial stable"
apt-get update
apt-cache madison docker-ce
apt-get install docker-ce=5:19.03.6~3-0~ubuntu-xenial docker-ce-cli=5:19.03.6~3-0~ubuntu-xenial containerd.io=1.2.4-1