Podatność w Boxlite (usługa sandbox do uruchamiania kontenerów OCI z niezaufanym kodem) pozwala złośliwemu kodowi wewnątrz kontenera na przemontowanie katalogów w trybie odczytu-zapisu. Jest to szczególnie niebezpieczne, ponieważ kompromituje izolację środowiska sandbox i umożliwia nieautoryzowane modyfikacje systemu plików.
▸ Pokaż oryginał (EN)
Boxlite is a sandbox service that allows users to create lightweight virtual machines (Boxes) and launch OCI containers within them to run untrusted code. Prior to version 0.9.0, Boxlite does not restrict the kernel capabilities available inside the container, malicious code can remount the directory in rw mode, thereby gaining write access to that directory. This allows malicious code to perform arbitrary write operations on directories that should be read-only. This issue has been patched in version 0.9.0.
Boxlite przed wersją 0.9.0 nie ogranicza kernel capabilities dostępnych wewnątrz kontenera. Złośliwy kod uruchomiony w kontenerze może wykorzystać te uprawnienia do ponownego zamontowania (remount) katalogu z flagą odczytu-zapisu (rw), omijając tym samym zabezpieczenia wymuszające tryb tylko do odczytu (read-only). W efekcie kod uzyskuje możliwość dowolnego zapisu do katalogów, które powinny być chronione.
Atakujący może wykonywać dowolne operacje zapisu na katalogach oznaczonych jako read-only, co prowadzi do przełamania izolacji sandbox i naruszenia integralności systemu plików hosta lub współdzielonych zasobów.
Należy zaktualizować Boxlite do wersji 0.9.0, w której problem został naprawiony. Patch dostępny jest w repozytorium projektu na GitHub (tag v0.9.0).
Boxlite w wersjach wcześniejszych niż 0.9.0
Podatność dotyczy scenariusza, w którym usługa sandbox jest używana do uruchamiania niezaufanego kodu — brak skutecznej izolacji kernel capabilities jest szczególnie krytyczny w tym kontekście. Poprawka została wprowadzona w pull request #454.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N