高危 runc 文件描述符泄漏漏洞（CVE-2024-21626）
CVE编号
CVE-2024-21626利用情况
暂无补丁情况
官方补丁披露时间
2024-02-01漏洞描述
在 runc 1.1.11 及之前的版本中，由于内部文件描述符泄露的问题，攻击者可以让新生成的容器进程在宿主文件系统命名空间中拥有工作目录，从而允许通过访问宿主文件系统实现容器逃逸等。官方已于2024年2月1日发布安全更新，建议相关受影响用户升级。 阿里云产品关于 runc的安全问题（CVE-2024-21626）影响声明 https://help.aliyun.com/noticelist/articleid/1069353299.html 影响范围 1.0.0-rc93 <= runc <= 1.1.11 安全版本 runc 1.1.12解决建议
官方已于2024年2月1日发布安全更新，建议相关受影响用户升级。受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.18 | runc | * | Up to (excluding) 1.1.12-r0 | |||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.19 | runc | * | Up to (excluding) 1.1.12-r0 | |||||
| 运行在以下环境 | |||||||||
| 系统 | amazon_2 | runc | * | Up to (excluding) 1.1.11-1.amzn2 | |||||
| 运行在以下环境 | |||||||||
| 系统 | amazon_2 | runc | * | Up to (excluding) 1.1.11-1.amzn2 | |||||
| 运行在以下环境 | |||||||||
| 系统 | amazon_2023 | runc | * | Up to (excluding) 1.1.11-1.amzn2023.0.1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | amazon_2023 | runc | * | Up to (excluding) 1.1.11-1.amzn2023.0.1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | amazon_AMI | runc | * | Up to (excluding) 1.1.11-1.1.amzn1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | fedora_38 | runc | * | Up to (excluding) 1.1.12-1.fc38 | |||||
| 运行在以下环境 | |||||||||
| 系统 | fedora_39 | runc | * | Up to (excluding) 1.1.12-1.fc39 | |||||
| 运行在以下环境 | |||||||||
| 系统 | opensuse_5.3 | runc | * | Up to (excluding) 1.1.11-150000.58.1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | opensuse_5.4 | runc | * | Up to (excluding) 1.1.11-150000.58.1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | opensuse_Leap_15.5 | runc | * | Up to (excluding) 1.1.11-150000.58.1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | ubuntu_20.04 | runc | * | Up to (excluding) 1.1.7-0ubuntu1~20.04.2 | |||||
| 运行在以下环境 | |||||||||
| 系统 | ubuntu_22.04 | runc | * | Up to (excluding) 1.1.7-0ubuntu1~22.04.2 | |||||
- 攻击路径 本地
- 攻击复杂度 容易
- 权限要求 普通权限
- 影响范围 全局影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 数据泄露
- 数据完整性 传输被破坏
- 服务器危害 服务器失陷
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
| CWE-403 | 将文件描述符暴露给不受控制的范围（文件描述符泄露） |
| CWE-668 | 将资源暴露给错误范围 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论