【安全通告】runC 严重安全漏洞（CVE-2019-5736）导致容器逃逸

【安全通告】runC 严重安全漏洞（CVE-2019-5736）导致容器逃逸

runC是一个根据OCI(Open Container Initiative)标准创建并运行容器的CLI(command-line interface) 工具。runC是Docker中最为核心的部分，容器的创建，运行，销毁等操作最终都是通过调用runC完成。
近日runC 报出严重安全漏洞（CVE-2019-5736），导致18.09.2版本之前的Docker允许恶意容器覆盖宿主机上的runC二进制文件，由此使攻击者能够以root身份在宿主机上执行任意命令。恶意容器需满足以下两个条件之一: (1)由一个攻击者控制的恶意镜像创建、(2)攻击者具有某已存在容器的写权限，且可通过docker exec进入。目前，研究员已在github上提交了该漏洞的的修复。

影响范围及不受影响范围

解决方案

为了缓解该漏洞，建议所使用的容器镜像都是经过审查并信任的，建议使用基于runC 技术的开发者尽快进行升级。
参考链接：
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-5736
https://github.com/opencontainers/runc/commit/0a8e4117e7f715d5fbeef398405813ce8e88558b

runC github 修复链接：

https://github.com/opencontainers/runc/commit/0a8e4117e7f715d5fbeef398405813ce8e88558b

Docker 最新版本18.09.2 中已修复了该漏洞，建议升级到最新版本。
https://github.com/docker/docker-ce/releases/tag/v18.09.2

Red Hat 平台修复方案详见以下链接：
https://access.redhat.com/zh_CN/security/vulnerabilities/3907161

AWS 平台修复方案详见以下链接：
https://aws.amazon.com/cn/security/security-bulletins/AWS-2019-002/

Kubernetes修复方案详见以下链接：
https://kubernetes.io/blog/2019/02/11/runc-and-cve-2019-5736/