New Docker Container Escape Bug Affects Microsoft Azure Functions
كشف باحث الأمن السيبراني Paul Litvak اليوم عن ثغرة أمنية لم يتم إصلاحها في Microsoft Azure Functions والتي يمكن أن يستخدمها المهاجم لتصعيد الامتيازات والهروب من حاوية Docker المستخدمة لاستضافتها. تأتي النتائج كجزء من تحقيقات Intezer Lab في البنية التحتية للحوسبة Azure.
بعد الكشف إلى Microsoft، يُقال إن صانع Windows قد "قرر أن الثغرة الأمنية ليس لها تأثير أمني على مستخدمي الوظيفة، نظرًا لأن المضيف نفسه لا يزال محميًا بحد دفاع آخر ضد الموقع المرتفع الذي وصلنا إليه في مضيف الحاوية".
وظائف Azure، المماثلة لـ Amazon AWS Lambda، هي حل بدون خادم يسمح للمستخدمين بتشغيل التعليمات البرمجية التي يتم تشغيلها بواسطة الحدث دون الحاجة إلى توفير أو إدارة البنية التحتية بشكل صريح مع إتاحة إمكانية توسيع نطاق الحوسبة والموارد وتخصيصها بناءً على الطلب في الوقت نفسه.
من خلال دمج Docker في المزيج، فإنه يجعل من الممكن للمطورين نشر وتشغيل وظائف Azure بسهولة سواء في السحابة أو في أماكن العمل.
نظرًا لأن رمز المشغل حدث (على سبيل المثال، طلب HTTP) تم تكوينه لاستدعاء وظيفة Azure، فقد أنشأ الباحثون أولاً HTTP trigger للحصول على موطئ قدم فوق حاوية الوظيفة، وذلك باستخدامه للعثور على مآخذ تنتمي إلى العمليات ذات امتيازات "الجذر root".
وظائف Azure، المماثلة لـ Amazon AWS Lambda، هي حل بدون خادم يسمح للمستخدمين بتشغيل التعليمات البرمجية التي يتم تشغيلها بواسطة الحدث دون الحاجة إلى توفير أو إدارة البنية التحتية بشكل صريح مع إتاحة إمكانية توسيع نطاق الحوسبة والموارد وتخصيصها بناءً على الطلب في الوقت نفسه.
من خلال دمج Docker في المزيج، فإنه يجعل من الممكن للمطورين نشر وتشغيل وظائف Azure بسهولة سواء في السحابة أو في أماكن العمل.
نظرًا لأن رمز المشغل حدث (على سبيل المثال، طلب HTTP) تم تكوينه لاستدعاء وظيفة Azure، فقد أنشأ الباحثون أولاً HTTP trigger للحصول على موطئ قدم فوق حاوية الوظيفة، وذلك باستخدامه للعثور على مآخذ تنتمي إلى العمليات ذات امتيازات "الجذر root".
من هناك، تم تحديد إحدى هذه العمليات ذات الامتيازات المرتبطة بثنائي "شبكة Mesh" لاحتواء عيب يمكن استغلاله لمنح مستخدم "التطبيق app" الذي يدير أذونات جذر الوظيفة المذكورة أعلاه. في حين أن ثنائي Mesh في حد ذاته ليس لديه أي وثائق لشرح الغرض منه، وجد باحثو Intezer إشارات إليه في صورة Docker العامة، والتي استخدموها لإجراء هندسة عكسية وتحقيق تصعيد الامتياز.
في الخطوة الأخيرة، تم إساءة استخدام الامتيازات الموسعة المخصصة للحاوية (باستخدام علامة "--privileged") للهروب من حاوية Docker وتشغيل أمر عشوائي على المضيف.
أصدرت Intezer أيضًا رمز استغلال إثبات المفهوم (PoC) على GitHub لفحص بيئة مضيف Docker. قال باحثو Intezer Labs: "مثل هذه الأمثلة تؤكد أن الثغرات الأمنية تكون أحيانًا خارج سيطرة مستخدم السحابة". "يمكن للمهاجمين أن يجدوا طريقة للداخل من خلال برامج طرف ثالث ضعيفة".
"من الأهمية بمكان أن يكون لديك إجراءات حماية مطبقة للكشف عن المهاجم وإنهائه عندما ينفذ المهاجم تعليمات برمجية غير مصرح بها في بيئة الإنتاج الخاصة بك. حتى أن عقلية عدم الثقة Zero Trust mentality هذه ترددها Microsoft".
في الخطوة الأخيرة، تم إساءة استخدام الامتيازات الموسعة المخصصة للحاوية (باستخدام علامة "--privileged") للهروب من حاوية Docker وتشغيل أمر عشوائي على المضيف.
أصدرت Intezer أيضًا رمز استغلال إثبات المفهوم (PoC) على GitHub لفحص بيئة مضيف Docker. قال باحثو Intezer Labs: "مثل هذه الأمثلة تؤكد أن الثغرات الأمنية تكون أحيانًا خارج سيطرة مستخدم السحابة". "يمكن للمهاجمين أن يجدوا طريقة للداخل من خلال برامج طرف ثالث ضعيفة".
"من الأهمية بمكان أن يكون لديك إجراءات حماية مطبقة للكشف عن المهاجم وإنهائه عندما ينفذ المهاجم تعليمات برمجية غير مصرح بها في بيئة الإنتاج الخاصة بك. حتى أن عقلية عدم الثقة Zero Trust mentality هذه ترددها Microsoft".
