दुर्भावनापूर्ण कंटेनर होस्ट एक्सटर्नल पर "mtab" सिम्लिंक बनाता है github.com/cri-o/cri-o में

इस भेद्यता का शोषण करने वाला एक हमलावर होस्ट सिस्टम पर अनधिकृत पहुंच प्राप्त कर सकता है। प्रतीकात्मक लिंक बनाकर, कंटेनर महत्वपूर्ण सिस्टम फ़ाइलों को संशोधित करने या संवेदनशील डेटा तक पहुंचने में सक्षम हो सकता है। यह संभावित रूप से होस्ट सिस्टम की सुरक्षा और अखंडता से समझौता कर सकता है। इस भेद्यता का प्रभाव महत्वपूर्ण है क्योंकि यह कंटेनर से होस्ट सिस्टम तक विशेषाधिकारों को बढ़ा सकता है, जिससे संभावित रूप से पूरे बुनियादी ढांचे पर प्रभाव पड़ सकता है। इस तरह के हमले का परिणाम डेटा उल्लंघन, सिस्टम समझौता और सेवा व्यवधान हो सकता है।

Organizations heavily reliant on containerized applications using cri-o are at risk. This includes Kubernetes clusters and environments utilizing cri-o as a container runtime. Specifically, deployments with lenient container isolation policies or those running older, unpatched cri-o versions are particularly vulnerable.

• linux / server:

journalctl -u cri-o -g "symlink creation"

• linux / server:

find / -name mtab -type l

• linux / server:

ps aux | grep cri-o | grep -i mtab

1. 2024-06-14Disclosure

   disclosure

1. आरक्षित2024-05-20
2. प्रकाशित2024-06-14
3. संशोधित2026-03-03
4. EPSS अद्यतन2026-04-02

CVE-2024-5154 को कम करने के लिए, cri-o को संस्करण 1.28.7 या बाद के संस्करण में तुरंत अपडेट करना महत्वपूर्ण है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप कंटेनर को होस्ट सिस्टम पर प्रतीकात्मक लिंक बनाने से रोकने के लिए AppArmor या SELinux जैसे सुरक्षा मॉड्यूल का उपयोग कर सकते हैं। इसके अतिरिक्त, होस्ट सिस्टम पर फ़ाइल सिस्टम अनुमतियों को सख्त करना और अनावश्यक फ़ाइलों और निर्देशिकाओं तक कंटेनर की पहुंच को सीमित करना भेद्यता के जोखिम को कम करने में मदद कर सकता है। अपडेट के बाद, यह सत्यापित करें कि प्रतीकात्मक लिंक निर्माण विफल हो गया है, यह सुनिश्चित करते हुए कि भेद्यता को सफलतापूर्वक कम कर दिया गया है।