悪意のあるコンテナがホスト External に "mtab" シンボリックリンクを作成する (github.com/cri-o/cri-o)

この脆弱性は、攻撃者がコンテナ内で悪意のあるコードを実行し、そのコードがホストファイルシステム上の「mtab」という名前のシンボリックリンクを作成することで悪用される可能性があります。これにより、攻撃者はホストの重要なファイルにアクセスしたり、改ざんしたり、システムを完全に制御したりする可能性があります。この攻撃は、コンテナエスケープ攻撃の一種であり、cri-oを使用している環境全体に影響を及ぼす可能性があります。特に、コンテナの権限が適切に制限されていない場合、攻撃の成功率は高くなります。

Organizations heavily reliant on containerized applications using cri-o are at risk. This includes Kubernetes clusters and environments utilizing cri-o as a container runtime. Specifically, deployments with lenient container isolation policies or those running older, unpatched cri-o versions are particularly vulnerable.

• linux / server:

journalctl -u cri-o -g "symlink creation"

• linux / server:

find / -name mtab -type l

• linux / server:

ps aux | grep cri-o | grep -i mtab

1. 2024-06-14Disclosure

   disclosure

1. 予約済み2024-05-20
2. 公開日2024-06-14
3. 更新日2026-03-03
4. EPSS 更新日2026-04-02

この脆弱性への主な対策は、cri-oをバージョン1.28.7以降にアップグレードすることです。アップグレードが困難な場合は、コンテナの権限を厳密に制限し、ホストファイルシステムへのアクセスを最小限に抑えることでリスクを軽減できます。また、WAFやIPSなどのセキュリティデバイスを使用して、悪意のあるシンボリックリンク作成の試みを検出およびブロックすることも有効です。cri-oの設定を定期的に監査し、不要な権限やアクセス許可がないか確認することも重要です。アップグレード後、cri-o versionコマンドを実行してバージョンを確認し、脆弱性が修正されていることを確認してください。