コンテナランタイム「runc」に脆弱性、DockerやKubernetesに影響
RedHatやAmazon Web Services(AWS)、Google Kubernetes Engineなどのセキュリティ情報も公開され、アップデートの適用などを呼び掛けている。
DockerやKubernetesなどに使われているオープンソースのコンテナランタイム「runc」に脆弱性が発見され、2月12日にパッチが公開された。RedHatやAmazon Web Services(AWS)、Google Kubernetes Engineなどのセキュリティ情報も同日公開され、アップデートの適用などを呼び掛けている。
runcはDocker、cri-o、containerd、Kubernetesなどに使われているコンテナランタイム。管理者が同日公開したセキュリティ情報によると、脆弱性を悪用された場合、悪質なコンテナがホストruncバイナリを上書きし、ホスト上でコードを実行できるroot特権を獲得できてしまう恐れがある。
この脆弱性は、デフォルトのAppArmorポリシーでも、FedoraのデフォルトのSELinuxポリシーでもブロックされない。一方で、ユーザー名前空間の適切な使用によってブロックできる。
この脆弱性を修正するruncのパッチは同日公開された。検証用の悪用コードも2月18日に公開予定。
Red Hatのブログでは今回の脆弱性について、「悪質なコードによってコンテナが破られ、1つのコンテナだけでなく、全コンテナホストが影響を受けて、何百から何千ものコンテナが被害に遭う恐れがある」と解説している。Red Hatの場合、SELinuxによってこの脆弱性の悪用は防止できるとしている。
関連記事
- コレ1枚で分かる「Docker」
開発担当者と運用担当者が連携する「DevOps」。これを可能にするコンテナ環境のメリットと、コンテナ管理ソフトウェアの代表格といえる「Docker」について解説します。 - 「Docker」採用のホスティングサービス、さくらインターネットが提供開始
さくらインターネットは、コンテナ型仮想化技術「Docker」を利用したホスティングサービス「Arukas」の提供を開始した。一部のプランは無料で利用可能。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.