恶意容器在github.com/cri-o/cri-o的主机外部创建“mtab”符号链接

此漏洞的潜在影响非常严重。攻击者可以利用恶意容器创建符号链接，从而绕过容器隔离机制，访问主机文件系统。这可能导致攻击者读取、写入甚至执行主机上的敏感数据和代码。攻击者可以利用此漏洞窃取凭据、安装恶意软件、破坏系统或进行横向移动，进一步扩大攻击范围。由于 cri-o 是 Kubernetes 的一个关键组件，该漏洞可能影响使用 Kubernetes 的整个集群，造成广泛的安全风险。

Organizations heavily reliant on containerized applications using cri-o are at risk. This includes Kubernetes clusters and environments utilizing cri-o as a container runtime. Specifically, deployments with lenient container isolation policies or those running older, unpatched cri-o versions are particularly vulnerable.

• linux / server:

journalctl -u cri-o -g "symlink creation"

• linux / server:

find / -name mtab -type l

• linux / server:

ps aux | grep cri-o | grep -i mtab

1. 2024-06-14Disclosure

   disclosure

1. 已保留2024-05-20
2. 发布日期2024-06-14
3. 修改日期2026-03-03
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即升级到 cri-o 1.28.7 或更高版本。如果升级不可行，可以考虑以下临时缓解措施：限制容器的权限，使其无法创建符号链接；使用 AppArmor 或 SELinux 等安全模块来限制容器的访问权限；监控容器的活动，及时发现异常行为。升级后，请验证符号链接是否已成功删除，并确认容器隔离机制是否正常工作。