Runc命令注入漏洞（CVE-2024-3154）

一、漏洞概述

漏洞名称	Runc命令注入漏洞
CVE   ID	CVE-2024-3154
漏洞类型	命令注入	发现时间	2024-04-28
漏洞评分	7.2	漏洞等级	高危
攻击向量	网络	所需权限	高
利用难度	低	用户交互	无
PoC/EXP	未公开	在野利用	未发现

runc是一个 CLI 工具，用于根据 OCI 规范在Linux上生成和运行容器。runc的使用非常灵活，可以与各种容器工具和平台集成，如Docker、Kubernetes（CRI-O中使用runc来创建和运行容器）等。

2024年4月28日，启明星辰VSRC监测到runc中存在命令注入漏洞（CVE-2024-3154），该漏洞的CVSS评分为7.2。

Runc 1.2.0-rc.1之前版本中，由于未能有效过滤Pod 注解，能够创建Pod 注解的威胁者可通过注入任意 systemd 属性导致在主机系统上执行任意操作，成功利用可能导致服务行为异常或实现权限提升等。

二、影响范围

runc < 1.2.0-rc.1

三、安全措施

3.1 升级版本

目前该漏洞已经修复，受影响用户可更新到runc 1.2.0-rc.1或更高版本。

下载链接：

https://github.com/opencontainers/runc/releases

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://github.com/opencontainers/runc/commit/3db0871f1cf25c7025861ba0d51d25794cb21623

https://github.com/opencontainers/runc/pull/4217

https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2024-3154

https://nvd.nist.gov/vuln/detail/CVE-2024-3154

原文始发于微信公众号（启明星辰安全简讯）：【漏洞通告】Runc命令注入漏洞（CVE-2024-3154）