コンテナランタイム「runc」に脆弱性、DockerやKubernetesに影響

RedHatやAmazon Web Services（AWS）、Google Kubernetes Engineなどのセキュリティ情報も公開され、アップデートの適用などを呼び掛けている。

[鈴木聖子，ITmedia]

　DockerやKubernetesなどに使われているオープンソースのコンテナランタイム「runc」に脆弱性が発見され、2月12日にパッチが公開された。RedHatやAmazon Web Services（AWS）、Google Kubernetes Engineなどのセキュリティ情報も同日公開され、アップデートの適用などを呼び掛けている。

　runcはDocker、cri-o、containerd、Kubernetesなどに使われているコンテナランタイム。管理者が同日公開したセキュリティ情報によると、脆弱性を悪用された場合、悪質なコンテナがホストruncバイナリを上書きし、ホスト上でコードを実行できるroot特権を獲得できてしまう恐れがある。

　この脆弱性は、デフォルトのAppArmorポリシーでも、FedoraのデフォルトのSELinuxポリシーでもブロックされない。一方で、ユーザー名前空間の適切な使用によってブロックできる。

　この脆弱性を修正するruncのパッチは同日公開された。検証用の悪用コードも2月18日に公開予定。

　Red Hatのブログでは今回の脆弱性について、「悪質なコードによってコンテナが破られ、1つのコンテナだけでなく、全コンテナホストが影響を受けて、何百から何千ものコンテナが被害に遭う恐れがある」と解説している。Red Hatの場合、SELinuxによってこの脆弱性の悪用は防止できるとしている。

Red Hatのブログ