Container Escape.

Ein Exploit, der die Isolation zwischen einem Container und seinem Host durchbricht und dem Angreifer Codeausfuehrung auf dem darunterliegenden Knoten oder Kernel ermoeglicht. Es gehört zur Kategorie Cloud-Sicherheit der Cybersicherheit.

Ein Exploit, der die Isolation zwischen einem Container und seinem Host durchbricht und dem Angreifer Codeausfuehrung auf dem darunterliegenden Knoten oder Kernel ermoeglicht.

Ein Container Escape nutzt Schwaechen in der Container-Runtime, im Kernel oder in fehlkonfigurierten Namespaces, um aus einem isolierten Container auszubrechen und Privilegien auf dem Hostbetriebssystem zu erlangen. Klassische Beispiele sind CVE-2019-5736 in runC, bei dem ein boesartiger Container das runC-Binary ueberschreiben und Root auf dem Host erlangen konnte, sowie Missbrauch privilegierter Container, gemounteter Docker-Sockets oder geteilter PID-Namespaces. Nach dem Ausbruch bewegt sich der Angreifer oft lateral durch das Cluster, stiehlt kubelet-Credentials und greift auf andere Workloads zu. Gegenmassnahmen sind rootless Container, seccomp- und AppArmor-Profile, schreibgeschuetzte Dateisysteme, gVisor- oder Kata-Sandboxes und zuegiges Patchen.

Schutzmaßnahmen gegen Container Escape kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: Container-Ausbruch, Docker-Escape.