리눅스 커널 내 cgroup 기능의 CVE-2022-0492 취약점, 컨테이너 탈출 허용해

CVE-2022-0492 flaw in Linux Kernel cgroups feature allows container escape

 

공격자가 이미 패치된 심각도 높은 리눅스 취약점인 CVE-2022-0492(CVSS 점수: 7.0)를 악용하여 컨테이너를 탈출하여 호스트에서 임의 명령을 실행할 수 있는 것으로 나타났습니다.

 

해당 문제는 프로세스 모음의 리소스 사용량(CPU, 메모리, 디스크 I/O, 네트워크 등)을 제한, 처리, 격리하는 리눅스 커널 기능인 제어 그룹 기능에 영향을 미치는 권한 상승 취약점입니다. .

 

해당 취약점 관련 권고에서는 아래와 같이 설명했습니다.

 

“kernel/cgroup/cgroup-v1.c 기능의 Linux 커널 cgroup_release_agent_write에서 취약점이 발견되었습니다. 해당 취약점은 특정한 상황에서 cgroups v1 release_agent 기능을 사용하여 권한을 상승시키고 예기치 않게 네임스페이스 격리를 우회하도록 합니다."

 

Suse, Ubuntu, Redhat을 포함한 주요 리눅스 배포판에서도 자체적으로 권고를 게시했습니다.

 

이 취약점은 그룹의 프로세스가 종료된 후 실행되는 cgroups v1 release_agent 기능에 존재합니다.

 

해당 문제의 근본적인 원인은 리눅스 커널의 cgroup 구현에서 기능에 대한 액세스를 적절하게 제한하지 않았기 때문에 발생합니다. 로컬 공격자는 이 취약점을 악용하여 관리 권한을 얻을 수 있습니다.

 

이 취약점은 보안 연구원인 Yiqi Sun과 Kevin Wang이 발견했습니다.

 

Palo Alto Networks Unit 42 연구원인 Yuval Avrahami가 발표한 분석에서는 아래와 같이 설명되어 있었습니다.

 

“2월 4일, 리눅스에서는 커널에 존재하는 새로운 권한 상승 취약점인 CVE-2022-0492를 공개했습니다. CVE-2022-0492는 컨테이너의 기본 빌딩 블록인 리눅스 기능인 제어 그룹(cgroups)의 논리적 버그입니다."

 

"이 문제는 최근 발견된 가장 단순한 리눅스용 권한 상승 취약점 중 하나입니다. 리눅스 커널은 권한이 없는 사용자에게 권한이 필요한 작업을 실수로 노출시켰습니다.”

 

Palo Alto Networks에 따르면, CVE-2022-0492는 release_agent 파일을 설정하는 프로세스에 관리 권한(예: CAP_SYS_ADMIN 기능)이 있는지 확인하지 않았기 때문에 발생합니다.

 

release_agent 파일에 쓰기 권한을 가진 공격자는 커널이 상승된 권한으로 선택한 바이너리를 호출하도록 강제하고 시스템을 점령할 수 있습니다. "루트" 권한을 가진 프로세스만 파일에 쓸 수 있습니다.

 

“Linux는 release_agent 파일의 소유자를 루트로 설정하기 때문에 루트 권한이 있을 경우에만(또는 CAP_DAC_OVERRIDE 기능을 통해 파일 권한 검사를 우회할 수 있는 프로세스인 경우) 파일 쓰기를 수행할 수 있습니다. 따라서 이 취약점은 루트 프로세스가 권한을 상승시키는 것만 허용합니다."

 

“루트 사용자만 악용이 가능한 권한 상승 취약점은 다소 이상해 보일 수 있습니다. 루트로 실행한다고 해서 시스템 전체를 제어할 수 있는 권한이 있는 것은 아닙니다. 루트 사용자와 기능, 네임스페이스, 컨테이너를 포함하는 전체 권한 사이에는 중간 영역이 있습니다. 루트 프로세스가 시스템을 완전히 제어할 권한이 없는 경우, CVE-2022-0492는 심각한 취약점이 됩니다."

 

사용자는 가능한 한 빨리 보안 수정 사항을 적용하는 것이 좋습니다. AppArmor 또는 SELinux 보안 시스템을 실행하는 컨테이너는 해당 취약점에 영향을 받지 않습니다.

 

 

 

출처:

https://securityaffairs.co/wordpress/128742/security/cve-2022-0492-linux-kernel-flaw.html

https://security-tracker.debian.org/tracker/CVE-2022-0492

https://access.redhat.com/security/cve/cve-2022-0492

https://www.suse.com/security/cve/CVE-2022-0492.html

https://ubuntu.com/security/CVE-2022-0492