Docker和Kubernetes中使用的runC容器運(yùn)行時被披露存在三個新漏洞，攻擊者可利用這些漏洞繞過隔離限制，獲取主機(jī)系統(tǒng)訪問權(quán)限。

這三個安全問題的漏洞編號分別為CVE-2025-31133、CVE-2025-52565和CVE-2025-52881（均為高危級別），由SUSE軟件工程師于本周披露。

runC是一款通用容器運(yùn)行時，同時也是開放容器倡議（OCI）的容器運(yùn)行參考實(shí)現(xiàn)。它負(fù)責(zé)執(zhí)行創(chuàng)建容器進(jìn)程、配置命名空間、掛載點(diǎn)和控制組等底層操作，供Docker、Kubernetes等上層工具調(diào)用。

攻擊者利用這些漏洞可獲取容器底層主機(jī)的寫入權(quán)限，并獲得root權(quán)限，具體漏洞細(xì)節(jié)如下：

·CVE-2025-31133：runC通過綁定掛載/dev/null來“屏蔽”主機(jī)敏感文件。若攻擊者在容器初始化階段將/dev/null替換為符號鏈接，runC可能會將攻擊者控制的目標(biāo)以可讀寫模式綁定掛載到容器中，進(jìn)而允許攻擊者寫入/proc目錄，實(shí)現(xiàn)容器逃逸。

·CVE-2025-52565：/dev/console的綁定掛載可通過競爭條件或符號鏈接被重定向，導(dǎo)致runC在防護(hù)機(jī)制生效前，將非預(yù)期目標(biāo)掛載到容器內(nèi)。這同樣會使proc文件系統(tǒng)的關(guān)鍵條目暴露可寫入權(quán)限，為容器逃逸創(chuàng)造條件。

·CVE-2025-52881：攻擊者可誘使runC向/proc目錄執(zhí)行寫入操作，且該操作會被重定向至攻擊者控制的目標(biāo)。在部分版本中，該漏洞可繞過Linux安全模塊（LSM）的重新標(biāo)記防護(hù)，將runC的常規(guī)寫入操作轉(zhuǎn)化為對/proc/sysrq-trigger等危險文件的任意寫入。

其中，CVE-2025-31133和CVE-2025-52881影響所有版本的runC，CVE-2025-52565則影響1.0.0-rc3及后續(xù)版本的runC。目前，runC 1.2.8、1.3.3、1.4.0-rc.3及更高版本已提供修復(fù)補(bǔ)丁。

漏洞可利用性與風(fēng)險

安全研究人員指出，利用這三個漏洞“需要具備以自定義掛載配置啟動容器的能力”，攻擊者可通過惡意容器鏡像或Dockerfile實(shí)現(xiàn)這一條件。

截至目前，尚無這些漏洞被在真實(shí)環(huán)境中主動利用的相關(guān)報告，但可通過監(jiān)測可疑的符號鏈接行為，檢測是否存在利用這三個安全漏洞的嘗試。

runC開發(fā)者已公布緩解措施，包括為所有容器啟用用戶命名空間，且不將主機(jī)root用戶映射到容器命名空間中。

這一預(yù)防措施可阻斷攻擊的關(guān)鍵環(huán)節(jié)，因?yàn)閁nix自主訪問控制（DAC）權(quán)限會阻止命名空間內(nèi)的用戶訪問相關(guān)文件。

Sysdig還建議，若條件允許，應(yīng)使用無root權(quán)限容器，以降低漏洞被利用后可能造成的損害。

參考及來源：https://www.bleepingcomputer.com/news/security/dangerous-runc-flaws-could-allow-hackers-to-escape-docker-containers/