容器逃逸.

一种突破容器与宿主机隔离边界的攻击,使攻击者在底层节点或内核上执行代码。 它属于网络安全的 云安全 分类。

一种突破容器与宿主机隔离边界的攻击,使攻击者在底层节点或内核上执行代码。

容器逃逸利用容器运行时、内核或配置不当的命名空间漏洞,突破容器的隔离边界,在宿主操作系统上获得权限。典型案例包括 runC 的 CVE-2019-5736,恶意容器可覆盖 runC 二进制并在宿主上获得 root 权限,以及对特权容器、挂载 Docker socket 或共享 PID 命名空间的滥用。逃逸后,攻击者通常会在集群中横向移动,窃取 kubelet 凭据并访问其他工作负载。缓解措施包括使用 rootless 容器、seccomp 与 AppArmor 配置、只读文件系统、gVisor 或 Kata 沙箱,以及及时修补运行时漏洞。

针对 容器逃逸 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: 容器突破, Docker 逃逸。