Container Escape.

Exploit qui rompt l'isolation entre un conteneur et son hote, donnant a l'attaquant l'execution de code sur le noeud sous-jacent ou le noyau. Cette notion relève de la catégorie Sécurité du cloud en cybersécurité.

Exploit qui rompt l'isolation entre un conteneur et son hote, donnant a l'attaquant l'execution de code sur le noeud sous-jacent ou le noyau.

Le container escape exploite des failles du runtime de conteneurs, du noyau ou des namespaces mal configures pour sortir de l'isolation et obtenir des privileges sur le systeme hote. Exemples classiques: CVE-2019-5736 dans runC, ou un conteneur malveillant pouvait reecrire le binaire runC et obtenir root sur l'hote, ainsi que les abus de conteneurs privilegies, sockets Docker montes ou namespaces PID partages. Apres l'evasion, l'attaquant se deplace lateralement dans le cluster, vole les identifiants kubelet et accede a d'autres charges. Mitigations: conteneurs rootless, profils seccomp et AppArmor, systemes de fichiers en lecture seule, sandboxes gVisor ou Kata, et correctifs rapides.

Les défenses contre Container Escape combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Evasion de conteneur, Echappement Docker.