[漏洞預警] Docker 容器逃逸漏洞（CVE-2020-15257）

2020年12月01日，阿里云應急響應中心監測到 containerd 官方發布安全更新，修復了 docker 容器逃逸漏洞（CVE-2020-15257）。

漏洞描述

Containerd 是一個控制 runC 的守護進程，提供命令行客戶端和 API，用于在一個機器上管理容器。在特定網絡條件下，攻擊者可通過訪問containerd-shim API，從而實現Docker容器逃逸。阿里云應急響應中心提醒 containerd 用戶盡快采取安全措施阻止漏洞攻擊。

影響版本

• containerd < 1.4.3

• containerd < 1.3.9

安全版本

• containerd >= 1.4.3

• containerd >= 1.3.9

安全建議

1. 升級 containerd 至最新版本。

2. 通過添加如 deny unix addr=@**的AppArmor策略禁止訪問抽象套接字。

相關鏈接

https://github.com/containerd/containerd/s...