Category: 漏洞研究

摘要 eBPF 映射为内核态程序提供了高效的数据交换机制，其原子性保证仅限于单个 64 位操作。当多个 eBPF 程序共享同一个 BPF_MAP_TYPE_ARRAY 或 BPF_MAP_TYPE_HASH 时，涉及多个映射字段的复合操作存在天然的竞态窗口。攻击者可在一个容器的 eBPF 程序中快速修改映射的多个字段，与此同时，另一个容器的 eBPF 程序在读取前观察到不一致的中间状态，从而建立基于时序的隐蔽信道，绕过容器网络隔离与安全策略。更关键的是，bpf_spin_lock 的适用范围有限——它仅保护映射值内部字段的原子性，无法阻止攻击者利用映射操作之间的竞态。 eBPF 映射的并发语义 原子性保证的边界 eBPF 映射是内核中存储键值对的数据结构，支持 BPF_MAP_TYPE_ARRAY、BPF_MAP_TYPE_HASH、BPF_MAP_TYPE_PERCPU_ARRAY 等多种类型。对于哈希映射，bpf_map_update_elem 和 bpf_map_lookup_elem 在单个条目上提供原子读写——这意味着一个 64 位的值在任一时刻要么被完全写入，要么被完全读出，不会出现撕裂读写。 然而，复合操作的原子性并不存在。当攻击者需要同时修改两个或多个映射条目，或者在一个映射条目上执行“读取-修改-写入”序列时，多个指令之间存在可被其他程序观察到的窗口。例如： // 非原子复合操作 __u64 *counter = bpf_map_lookup_elem(&stats_map, &key); if (counter) { __u64 old = *counter; *counter = old + 1; // 读-改-写 竞态 __u64 *timestamp = bpf_map_lookup_elem(&time_map, &key); if (timestamp) { *timestamp = bpf_ktime_get_ns(); // 与 counter…

摘要 OCI 镜像以层为单位分发，每层通过 tar 包与白文件（whiteout）控制文件删除与覆盖。容器运行时在解压镜像时，runc 的 mountToRootfs 会逐层应用变更，此过程对符号链接的处理存在边界歧义：攻击者可构造恶意镜像，先创建指向宿主根目录的符号链接，再利用后续层的挂载与白文件操作，绕过文件系统的访问控制，在容器启动阶段完成宿主机文件系统的逃逸。 OCI 镜像与容器运行时基础 镜像分层与 tar 层 OCI 镜像由多个只读层叠加而成，每一层是一个 tar 归档，保存相对于根文件系统的变化。镜像构建时，每个 RUN、ADD 等指令会生成一个新的层，最终通过联合文件系统（如 OverlayFS）合并成一个完整的根文件系统视图。 容器启动时，containerd 调用 runc 创建容器。runc 根据 OCI 配置，先挂载根文件系统（通常是 overlay），然后执行 rootfs 的准备工作，包括处理各层的文件操作。 runc 的 mountToRootfs 流程 runc 的 libcontainer/rootfs_linux.go 中，mountToRootfs 负责将各层挂载到容器的根文件系统路径。 流程大致如下： 挂载根文件系统（例如通过 overlay）到临时目录或直接使用 pivot_root。 应用各层：对于每个镜像层，runc 会遍历 tar 包中的条目，执行创建、修改、删除等操作。 处理 whiteout 文件（.wh. 前缀）和 opaque 目录文件（.wh..wh..opq）以隐藏或删除底层内容。 挂载卷、设备等。 在应用层的过程中，runc 会处理符号链接。具体逻辑在 mountToRootfs 中调用 mountToRootfs 的辅助函数 doMount，并依赖 os.Lstat 和 os.MkdirAll 等。对于符号链接，runc 可能在某些路径上直接跟随链接，导致对宿主机文件系统的意外操作。 符号链接与白文件的滥用 符号链接的跟随与逃逸 OCI 镜像的 tar 包可以包含符号链接。如果攻击者在一个层中创建一个指向宿主根目录（例如 /）的符号链接，然后在后续层中通过该符号链接写入文件，由于解压过程通常在宿主命名空间中执行（在挂载命名空间隔离之前），写入操作可能逃逸到宿主机文件系统。 runc 在处理各层时，会先应用层的 tar 包到容器的 rootfs 目录。这个过程发生在 pivot_root 之前，此时 rootfs 是一个宿主机路径（例如 /var/lib/containerd/rootfs/…）。如果 tar 包中包含符号链接并指向 /，那么后续在该符号链接下的写入操作可能影响到宿主机根目录。 白文件清空机制 白文件（以 .wh. 开头的文件）用于在更高层中删除低层的文件或目录。runc 在处理白文件时，会将低层的目标路径替换为删除操作。如果目标路径是一个符号链接，且该链接指向宿主目录，则删除操作可能删除宿主上的文件。 攻击者可以利用这种“删除”操作来掩盖逃逸行为，或者在逃逸后清理痕迹。 嵌套挂载与保护目录的绕过…