Компания Microsoft опубликовала
подробности об уязвимости CVE-2022-30137 в Azure Service Fabric (SF), позволяющей злоумышленникам с доступом к скомпрометированному контейнеру повысить свои привилегии и получить контроль над узлом SF хоста и целым кластером.
Хотя уязвимость затрагивает как Linux, так и Windows, проэксплуатировать ее можно только на Linux. Microsoft стало известно
о проблеме от исследователей из Palo Alto Networks в рамках программы bug bounty, и 26 мая 2022 года компания выпустила исправление для нее.
Все пользователи, подписанные на автоматические обновления, получили патч автоматически. Пользователям, не подписанным на автоматические обновления, рекомендуется обновить свои кластеры Linux до самого последнего выпуска SF.
Microsoft рекомендует пользователям продолжать просматривать все контейнерные рабочие нагрузки (как на Linux, так на Windows), которым разрешен доступ к кластерам хоста. По умолчанию кластер SF представляет собой однопользовательскую среду, поэтому между приложениями нет изоляции. Создать изоляцию можно, как описано в руководстве
по хостингу недоверенного кода на странице лучших практик безопасности Azure Service Fabric.
Этапы эксплуатации уязвимости:
Злоумышленник должен скомпрометировать контейнерную рабочую нагрузку, развернутую владельцем кластера;
Запущенный в контейнере вредоносный код может заместить чтение индексного файла DCA символической ссылкой.
С помощью дополнительной атаки по времени (timing attack) злоумышленник может получить контроль над машиной, на которой развернут узел SF.
Доступ суперпользователя на машинах с развернутым узлом
SF не считается
границей безопасности в кластере. Наивысшие привилегии на узле одинаковые везде в пределах одного кластера.
Источник: SecurityLab