2020年01月10日 05時00分 公開
特集/連載

Dockerも利用する「runc」に重大な脆弱性 何が危険か? 対策は?「コンテナエスケープ」の脅威と対策【前編】

主要なコンテナランタイム「runc」に重大な脆弱性が見つかった。攻撃者がこの脆弱性を悪用すると、コンテナ経由でホストシステムの管理者権限を奪える可能性がある。対策はあるのか。

[Dave Shackleford,TechTarget]

関連キーワード

Linux | セキュリティ | 仮想化 | 脆弱性 | Docker


 コンテナ管理ソフトウェアの「Docker」でも利用されている、オープンソースのコンテナランタイム(コンテナの実行に必要なソフトウェア)の筆頭格「runc」に重大な脆弱(ぜいじゃく)性「CVE-2019-5736」が見つかった。runcの開発者は2019年2月にこの脆弱性に対するセキュリティ情報とパッチを公開した。

 攻撃者がこの脆弱性を悪用した場合、攻撃者自身がアクセス権限を持つコンテナを経由して、そのコンテナが稼働するホストシステムにおいて「root」などの管理者権限を取得できるようになる可能性がある。攻撃者が管理者権限を取得すると、システムに対する重要な操作が可能になってしまう。

 こうしたコンテナを経由したホストシステムの攻撃は、「コンテナからホストシステムへの脱出」の意味で「コンテナエスケープ」という。コンテナエスケープは、攻撃者が書き込み権限を取得した既存のコンテナの侵害、あるいは改変したイメージファイルを用いた有害なコンテナの作成に悪用される。

 セキュリティ担当者にとって、コンテナのホストシステムで悪意あるユーザーによる操作を可能にしてしまうコンテナエスケープを引き起こす脆弱性が広く知られたのは、今回が初めてではない。2016年終盤には、コンテナエスケープにつながる脆弱性「CVE-2016-9962」に関する情報が公開された。この脆弱性もruncによるホストシステムの操作に影響を及ぼすもので、コンテナやコンテナイメージへのアクセス権限を持つ攻撃者によるコンテナエスケープを可能にする恐れがあった。

具体的な対策は

ITmedia マーケティング新着記事

news153.jpg

「広告をきっかけにアプリをダウンロード」 回答者の46%――Criteo調査
コロナ禍におけるアプリユーザー動向調査レポート。日本のモバイルアプリユーザーはコン...

news088.jpg

「ウェビナー疲れ」 参加経験者の約7割――ファストマーケティング調べ
ウェビナーに参加する目的や参加頻度など、ウェビナー参加者の最新動向に関する調査です。

news070.jpg

現金主義からキャッシュレス利用へのシフト 理由の一つに「衛生」も――クロス・マーケティング調査
キャッシュレス利用が顕著に増加。金額によって支払い方法の使い分けが定着しつつあるよ...