CVE-2021-43784

runc es una herramienta CLI para generar y ejecutar contenedores en Linux según la especificación OCI. En runc, netlink es usado internamente como un sistema de serialización para especificar la configuración relevante del contenedor a la porción "C" del código (responsable de la configuración del espacio de nombres basado en los contenedores). En todas las versiones de runc anteriores a la 1.0.3, el codificador no manejaba la posibilidad de un desbordamiento de enteros en el campo de longitud de 16 bits para el tipo de atributo de matriz de bytes, lo que significaba que un atributo de matriz de bytes suficientemente grande y malicioso podía provocar el desbordamiento de la longitud y que el contenido del atributo fuera analizado como mensajes netlink para la configuración del contenedor. Esta vulnerabilidad requiere que el atacante tenga cierto control sobre la configuración del contenedor y le permitiría saltarse las restricciones de espacio de nombres del contenedor simplemente añadiendo su propia carga útil de netlink que deshabilita todos los espacios de nombres. Los principales usuarios afectados son aquellos que permiten la ejecución de imágenes no confiables con configuraciones no confiables en sus máquinas (como en el caso de la infraestructura de nube compartida). runc versión 1.0.3 contiene una corrección para este bug. Como solución, puede intentarse deshabilitar las rutas de espacios de nombres no confiables de su contenedor. Tenga en cuenta que las rutas de espacios de nombres no confiables permitirían al atacante deshabilitar las protecciones de espacios de nombres por completo incluso en ausencia de este bug

An integer overflow vulnerability was found in runC. This issue occurs due to an incorrect netlink encoder handling the possibility of an integer overflow in the 16-bit length field for the byte array attribute type. This flaw allows an attacker who can include a large enough malicious byte array attribute to bypass the namespace restrictions of the container by simply adding their netlink payload, which disables all namespaces.