CVE-2020-15257

containerd, endüstri standardı bir konteyner çalışma zamanıdır ve Linux ile Windows için bir daemon olarak sunulmaktadır. containerd'in 1.3.9 ve 1.4.3 versiyonlarından önceki sürümlerinde, containerd-shim API'si ana makine ağ konteynerlerine uygun olmayan şekilde açılmıştır. Shim'in API soketi için erişim kontrolleri, bağlanan işlemin etkin UID değerinin 0 olduğunu doğrulamış ancak soyut Unix domain soketine erişimi başka şekilde kısıtlamamıştır. Bu durum, shim ile aynı ağ ad alanında çalışan, etkin UID değeri 0 olan ancak diğer ayrıcalıkları kısıtlanmış kötü niyetli konteynerlerin, yeni işlemlerin yükseltilmiş ayrıcalıklarla çalıştırılmasına neden olmasına izin verebilir. Bu güvenlik açığı containerd 1.3.9 ve 1.4.3 sürümlerinde giderilmiştir. Kullanıcılar, bu sürümler yayınlanır yayınlanmaz güncelleme yapmalıdır. containerd-shim'in eski bir sürümüyle başlatılan konteynerlerin durdurulup yeniden başlatılması gerektiği unutulmamalıdır; çünkü çalışan konteynerler güncellemeden sonra bile savunmasız kalmaya devam edecektir. Güvenilmeyen kullanıcıların, shim ile aynı ağ ad alanında (tipik olarak "host" ağ ad alanı, örneğin docker run --net=host veya bir Kubernetes pod'unda hostNetwork: true ile) ve etkin UID değeri 0 olacak şekilde konteyner başlatma imkanına sahip olmadıkları durumda, bu sorundan etkilenmezsiniz. Savunmasız bir yapılandırmayla konteyner çalıştırıyorsanız, politikanıza deny unix addr=@** benzeri bir satır ekleyerek AppArmor ile tüm soyut soketlere erişimi engelleyebilirsiniz. Konteynerleri azaltılmış bir ayrıcalık setiyle, sıfırdan farklı bir UID ile ve izole edilmiş ad alanlarıyla çalıştırmak en iyi uygulamadır. containerd geliştiricileri, ad alanlarının ana makine ile paylaşılmamasını şiddetle tavsiye eder. Bir konteyner için kullanılan izolasyon mekanizmaları setinin azaltılması, hangi konteyner çalışma zamanının kullanıldığına bakılmaksızın, o konteynerin ayrıcalıklarını zorunlu olarak artırır.