新近爆出的runc容器逃逸漏洞，用戶如何面對？

runc是一個根據OCI（Open Container Initiative）標準建立並運行容器的CLI工具，目前Docker引擎內部也是基於runc構建的。 2019年2月11日，研究人員經過oss-security郵件列表（https://www.openwall.com/lists/oss-security/2019/02/11/2 ）披露了runc容器逃逸漏洞的詳情，根據OpenWall的規定EXP會在7天后也就是2019年2月18日公開。

此漏洞容許以root身份運行的容器以特權用戶身份在主機上執行任意代碼。實際上，這意味着容器可能會破壞Docker主機（覆蓋Runc CLI），而所須要的只是可以使用root來運行容器。攻擊者可使用受感染的Docker鏡像或對未受感染的正在運行的容器運行exec命令。針對此問題的已知緩解措施包括：

• 使用只讀主機文件系統運行

• 運行用戶命名空間

• 不在容器中運行root

• 正確配置的AppArmor / SELinux策略（當前的默認策略不夠）

Rancher團隊第一時間響應

收到披露郵件後，RancherOS團隊馬上嘗試編寫了攻擊腳本，在一個普通容器中運行一個很是簡單的腳本就完成了對主機的攻擊，將主機上的runc替換成了其餘程序。

漏洞披露後，Docker在第一時間發佈了18.09.2，用戶可升級到此版本以修復該漏洞。Rancher Labs研發團隊一樣第一時間響應，發佈了Rancher v2.1.六、v2.0.11和v1.6.26，這三個新版本Rancher支持Docker剛剛發佈的18.09.2，Rancher用戶能夠升級Docker版本以防止被該安全漏洞影響。

沒法升級Docker版本怎麼辦

一般因爲各類因素，不少用戶的生產環境並不容易升級太新的Docker版本。

爲了幫助沒法按照Docker官方建議升級至最新版Docker 18.09.2的用戶解決這次問題，Rancher Labs團隊更進一步，已經將修復程序反向移植到全部版本的Docker，爲Docker 1.12.六、1.13.一、17.03.二、17.06.二、17.09.一、18.03.1和18.06.1提供補丁，修復此次漏洞！相關修補程序以及安裝說明，請參考：

https://github.com/rancher/runc-cve。

RancherOS的更新：v1.5.1 和 v1.4.3

RancherOS做爲一款容器化操做系統，其中不少組件依賴runc，咱們也在第一時間更新了補丁併發布了v1.5.1和v1.4.3兩個版本。

RancherOS的核心部件system-docker和user-docker都依賴runc，因此v1.5.1和v1.4.3都對他們進行了更新。而針對user-docker，RancherOS能夠切換各類版本的docker engine， 因此咱們對如下docker engine都進行了反向移植：

v1.12.6/v1.13.1/v17.03.2/v17.06.2/v17.09.1/v17.12.1/v18.03.1/v18.06.1。

若是是默認安裝v1.5.1或v1.4.3，補丁程序已是內置的，你無需任何操做就能夠避免該漏洞。若是你但願使用早期的docker版本，那麼切換user-docker時，請使用上面提到的補丁修復版本：

同時v1.5.1版本也是支持docker 18.09.2，你能夠切換到該版本，若是你考慮使用Docker官方的修復版本，只需簡單運行: ros engine switch docker-18.09.2。

咱們推薦您使用最新的RancherOS v1.5.1版本，該除了修復CVE-2019-5736漏洞外還支持其餘新特性以及一些Bug Fix。固然，由於仍然有不少用戶在使用1.4.x版本，因此咱們也發佈了v1.4.3， 它只修復了runc漏洞，沒有其餘額外的更新。

AWS相關鏡像已經上傳到各個region中，能夠直接搜索查找並使用，包括AWS中國區。其餘主要鏡像列表參考：

https://github.com/rancher/os/blob/v1.5.x/README.md#release

更多新特性和Bug Fix請參考v1.5.1的Release Notes：

https://github.com/rancher/os/releases/tag/v1.5.1

文檔說明：

https://rancher.com/docs/os/v1.x/en/

RancherOS專一於Docker在Linux上的精簡體驗，它仍是一個小衆的開源項目，歡迎您下載使用並給RancherOS團隊提供更多反饋。 同時，Github上的Star也是鼓勵咱們繼續前行的精神動力喔~

初心不忘，爲用戶的Docker & K8S之旅護航

Rancher Kubernetes平臺擁有着超過一億次下載量，咱們深知安全問題對於用戶而言的重要性，更遑論那些經過Rancher平臺在生產環境中運行Docker及Kubernetes的數千萬用戶。

2018年年末Kubernetes被爆出的首個嚴重安全漏洞CVE-2018-1002105，就是由Rancher Labs聯合創始人及首席架構師Darren Shepherd發現的。

2019年1月Kubernetes被爆出儀表盤和外部IP代理安全漏洞時，Rancher Labs也是第一時間向用戶響應，確保全部Rancher 2.x和1.6.x的用戶都徹底不被漏洞影響。

將來，Rancher也將一如既往陪伴與支持在用戶的K8S之路左右❤️