Выход на хост

Злоумышленники могут вырваться из контейнера или виртуализированной среды, чтобы получить доступ к базовому хосту. Это может предоставить злоумышленнику доступ к другим контейнеризованным или виртуализированным ресурсам с уровня хоста или к самому хосту. В принципе, контейнеризованные/виртуализированные ресурсы должны обеспечивать четкое разделение функциональности приложения и быть изолированными от среды хоста. Существует несколько способов, которыми злоумышленник может выйти из контейнера в среду хоста. Примеры включают создание контейнера, настроенного на монтирование файловой системы хоста с использованием параметра bind, что позволяет злоумышленнику размещать полезные нагрузки и выполнять утилиты управления, такие как cron, на хосте; использование привилегированного контейнера для запуска команд или загрузки вредоносного модуля ядра на базовом хосте; или злоупотребление системными вызовами, такими как `unshare` и `keyctl`, для повышения привилегий и кражи секретов. Кроме того, злоумышленник может эксплуатировать скомпрометированный контейнер с подмонтированным сокетом управления контейнерами, таким как `docker.sock`, чтобы вырваться из контейнера через Команды администрирования контейнеров. Злоумышленники также могут выйти через Эксплуатацию для повышения привилегий, например, используя уязвимости в глобальных символических ссылках для доступа к корневому каталогу хост-машины. В средах ESXi злоумышленник может эксплуатировать уязвимость, чтобы выйти из виртуальной машины в гипервизор. Получение доступа к хосту может предоставить злоумышленнику возможность достижения последующих целей, таких как установление закрепления, горизонтальное перемещение внутри среды, доступ к другим контейнерам или виртуальным машинам, работающим на хосте, или настройка канала управления и контроля на хосте.