Побег из песочницы (Sandbox Escape)
Что такое Побег из песочницы (Sandbox Escape)?
Побег из песочницы (Sandbox Escape)Уязвимость или цепочка эксплойтов, позволяющая коду выйти из изолирующей песочницы — браузера, ВМ или гипервизора — и получить исполнение в окружающей хост-среде.
Sandbox escape — это преодоление защитной границы, призванной удерживать недоверенный код. Известные примеры: песочницы браузера (граница renderer-broker в Chromium, процесс WebContent в WebKit), языковые рантаймы (V8, JavaScriptCore), прикладные песочницы (macOS Seatbelt, Windows AppContainer), контейнерные движки (runc CVE-2019-5736, побеги из Docker) и полноценные побеги из гипервизора (VENOM CVE-2015-3456 в QEMU, побеги из VMware ESXi, показанные на Pwn2Own 2017 и 2021 командами Team Sniper и Synacktiv). Цепочки обычно сочетают memory corruption в процессе песочницы с уязвимостью ядра или гипервизора, доступной через API песочницы. Pwn2Own, Project Zero и Microsoft MSRC двинули публичные исследования, что породило митигации Site Isolation, V8 Sandbox и Hyper-V VBS.
● Примеры
- 01
0-day-цепочка Chrome на Pwn2Own, выводящая исполнение из renderer-песочницы в broker браузера.
- 02
VENOM (CVE-2015-3456), сбегающий из контроллера дискет QEMU в ядро хоста.
● Частые вопросы
Что такое Побег из песочницы (Sandbox Escape)?
Уязвимость или цепочка эксплойтов, позволяющая коду выйти из изолирующей песочницы — браузера, ВМ или гипервизора — и получить исполнение в окружающей хост-среде. Относится к категории Защита и операции в кибербезопасности.
Что означает Побег из песочницы (Sandbox Escape)?
Уязвимость или цепочка эксплойтов, позволяющая коду выйти из изолирующей песочницы — браузера, ВМ или гипервизора — и получить исполнение в окружающей хост-среде.
Как работает Побег из песочницы (Sandbox Escape)?
Sandbox escape — это преодоление защитной границы, призванной удерживать недоверенный код. Известные примеры: песочницы браузера (граница renderer-broker в Chromium, процесс WebContent в WebKit), языковые рантаймы (V8, JavaScriptCore), прикладные песочницы (macOS Seatbelt, Windows AppContainer), контейнерные движки (runc CVE-2019-5736, побеги из Docker) и полноценные побеги из гипервизора (VENOM CVE-2015-3456 в QEMU, побеги из VMware ESXi, показанные на Pwn2Own 2017 и 2021 командами Team Sniper и Synacktiv). Цепочки обычно сочетают memory corruption в процессе песочницы с уязвимостью ядра или гипервизора, доступной через API песочницы. Pwn2Own, Project Zero и Microsoft MSRC двинули публичные исследования, что породило митигации Site Isolation, V8 Sandbox и Hyper-V VBS.
Как защититься от Побег из песочницы (Sandbox Escape)?
Защита от Побег из песочницы (Sandbox Escape) обычно сочетает технические меры и операционные практики, как описано в определении выше.
Какие есть другие названия Побег из песочницы (Sandbox Escape)?
Распространённые альтернативные названия: Побег из ВМ, Побег из гипервизора, Побег из песочницы браузера.
● Связанные термины
- appsec№ 129
Песочница браузера
Слой изоляции уровня ОС, ограничивающий рендерер и вспомогательные процессы браузера, чтобы скомпрометированный веб-код не мог читать файловую систему или другие приложения.
- cloud-security№ 211
Container Escape
Эксплойт, нарушающий границу изоляции между контейнером и хостом и позволяющий атакующему выполнять код на нижележащем узле или в ядре.
- vulnerabilities№ 399
Эксплойт
Код, данные или метод, использующий уязвимость для вызова непредусмотренного поведения — выполнения кода, повышения привилегий или раскрытия информации.
- defense-ops№ 963
Детектирование песочницы / эмулятора
Анти-аналитические техники в ВПО, которые распознают, что хост — это аналитическая песочница, эмулятор или виртуальная машина, и отказываются исполнять полезную нагрузку, чтобы скрыться от обнаружения.
- attacks№ 862
Инъекция в процесс
Семейство техник обхода защит, при которых атакующий исполняет вредоносный код в адресном пространстве легитимного процесса, наследуя его доверие и идентичность.
- defense-ops№ 298
Обход защит (Defense Evasion)
Тактика MITRE ATT&CK (TA0005), охватывающая техники, которыми атакующий уклоняется от обнаружения, отключает средства защиты и скрывает свою активность.
● См. также
- № 1051Изоляция сайтов