Docker release_agent cgroups escape
Для отримання додаткової інформації зверніться до оригінального блогу. Це лише резюме:
Original PoC:
Доказ концепції (PoC) демонструє метод експлуатації cgroups шляхом створення файлу release_agent
і виклику його для виконання довільних команд на хості контейнера. Ось розбивка кроків, що беруть участь:
Підготовка середовища:
Створюється директорія
/tmp/cgrp
, яка слугує точкою монтування для cgroup.Контролер cgroup RDMA монтується в цю директорію. У разі відсутності контролера RDMA рекомендується використовувати контролер cgroup
memory
як альтернативу.
Налаштуйте дочірній cgroup:
Дочірній cgroup з назвою "x" створюється в змонтованій директорії cgroup.
Сповіщення увімкнені для cgroup "x" шляхом запису 1 у його файл notify_on_release.
Налаштуйте агент випуску:
Шлях контейнера на хості отримується з файлу /etc/mtab.
Файл release_agent cgroup потім налаштовується для виконання скрипту з назвою /cmd, розташованого за отриманим шляхом хоста.
Створіть і налаштуйте скрипт /cmd:
Скрипт /cmd створюється всередині контейнера і налаштовується для виконання ps aux, перенаправляючи вихід у файл з назвою /output в контейнері. Вказується повний шлях до /output на хості.
Запустіть атаку:
Процес ініціюється в "x" дочірньому cgroup і відразу ж завершується.
Це викликає
release_agent
(скрипт /cmd), який виконує ps aux на хості та записує вихідні дані в /output всередині контейнера.
Last updated