コンテナエスケープ.

コンテナとホスト間の分離境界を破る攻撃で、攻撃者が基盤ノードまたはカーネル上でコードを実行できるようにする。 サイバーセキュリティの クラウドセキュリティ カテゴリに属します。

コンテナとホスト間の分離境界を破る攻撃で、攻撃者が基盤ノードまたはカーネル上でコードを実行できるようにする。

コンテナエスケープは、コンテナランタイム、カーネル、または誤設定された名前空間の弱点を悪用し、隔離されたコンテナから抜け出してホスト OS 上で権限を取得する攻撃です。代表的な例として、runC の CVE-2019-5736 では悪意あるコンテナが runC バイナリを上書きしてホストの root 権限を取得でき、その他にも特権コンテナの濫用、マウントされた Docker ソケット、共有された PID 名前空間などが悪用されます。エスケープ後、攻撃者はクラスタ内を横移動し、kubelet 認証情報を窃取して他のワークロードへアクセスします。対策としては rootless コンテナ、seccomp および AppArmor プロファイル、読み取り専用ファイルシステム、gVisor や Kata サンドボックス、そして迅速なパッチ適用が挙げられます。

コンテナエスケープ に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: コンテナブレイクアウト, Docker エスケープ。