2020年01月10日 05時00分 公開
特集/連載

「コンテナエスケープ」の脅威と対策【前編】Dockerも利用する「runc」に重大な脆弱性 何が危険か? 対策は?

主要なコンテナランタイム「runc」に重大な脆弱性が見つかった。攻撃者がこの脆弱性を悪用すると、コンテナ経由でホストシステムの管理者権限を奪える可能性がある。対策はあるのか。

[Dave Shackleford,TechTarget]

関連キーワード

Linux | セキュリティ | 仮想化 | 脆弱性 | Docker


 コンテナ管理ソフトウェアの「Docker」でも利用されている、オープンソースのコンテナランタイム(コンテナの実行に必要なソフトウェア)の筆頭格「runc」に重大な脆弱(ぜいじゃく)性「CVE-2019-5736」が見つかった。runcの開発者は2019年2月にこの脆弱性に対するセキュリティ情報とパッチを公開した。

 攻撃者がこの脆弱性を悪用した場合、攻撃者自身がアクセス権限を持つコンテナを経由して、そのコンテナが稼働するホストシステムにおいて「root」などの管理者権限を取得できるようになる可能性がある。攻撃者が管理者権限を取得すると、システムに対する重要な操作が可能になってしまう。

 こうしたコンテナを経由したホストシステムの攻撃は、「コンテナからホストシステムへの脱出」の意味で「コンテナエスケープ」という。コンテナエスケープは、攻撃者が書き込み権限を取得した既存のコンテナの侵害、あるいは改変したイメージファイルを用いた有害なコンテナの作成に悪用される。

 セキュリティ担当者にとって、コンテナのホストシステムで悪意あるユーザーによる操作を可能にしてしまうコンテナエスケープを引き起こす脆弱性が広く知られたのは、今回が初めてではない。2016年終盤には、コンテナエスケープにつながる脆弱性「CVE-2016-9962」に関する情報が公開された。この脆弱性もruncによるホストシステムの操作に影響を及ぼすもので、コンテナやコンテナイメージへのアクセス権限を持つ攻撃者によるコンテナエスケープを可能にする恐れがあった。

具体的な対策は

ITmedia マーケティング新着記事

news092.jpg

10代女子に聞いたお年玉の使い道、「貯金」「推し活」が上位に――バイドゥ調べ
イマドキの女子はもらったお年玉をどう使っているのでしょうか。

news093.jpg

バレンタインデーにお菓子を手作りする理由 「愛の告白」はわずか0.5%――クックパッド調査
バレンタインデーに「愛の告白」は絶滅の危機にあるそうです。

news078.jpg

Instagramのマーケティング活用――主要機能のまとめと活用事例で学ぶ
「ITmedia マーケティング」では、気になるマーケティングトレンドをeBookにして不定期で...