2SDnjc1JCzF
Уязвимости в runC: контейнеры Docker и Kubernetes под угрозой выхода за пределы изоляции
В инструменте runC, который используется для запуска контейнеров в Docker, Kubernetes и других системах, обнаружены три критические уязвимости - CVE-2025-31133, CVE-2025-52565 и CVE-2025-52881. Об этом сообщил инженер проекта Open Container Initiative Алексa Сарай в рассылке oss-sec.
Ошибки позволяют злоумышленнику при определённых условиях выйти из контейнера и получить доступ к системе с правами root. Проблема затрагивает механизм работы с файловыми дескрипторами и монтированиями внутри контейнера. Например, при подмене /dev/null или /dev/console на символическую ссылку до монтирования можно добиться записи в системные файлы вроде /proc/sysrq-trigger или /proc/sys/kernel/core_pattern. Это даёт возможность выполнять команды на уровне хоста.
Отдельная уязвимость (CVE-2025-52881) позволяет изменять записи в виртуальной файловой системе procfs и обходить средства мандатного контроля безопасности, такие как SELinux и AppArmor. В результате контейнерная изоляция теряет смысл, а злоумышленник получает прямой доступ к хост-системе.
Эксперты отмечают, что атака возможна только при запуске контейнеров с нестандартными параметрами монтирования и без включённого режима user namespace. Однако даже такие сценарии встречаются на корпоративных серверах, где контейнеры запускаются с повышенными правами или от имени root.
Разработчики уже выпустили исправления: безопасные версии runC включают 1.2.8, 1.3.3 и 1.4.0-rc.3. Пользователям рекомендуется немедленно обновиться, а также пересмотреть конфигурации контейнеров: отказаться от запуска от root-пользователя, включить rootless-режим и ограничить доступ к системным устройствам в /dev и /proc.
Случаев активной эксплуатации пока не зафиксировано, но специалисты предупреждают: уязвимости затрагивают ключевое звено экосистемы контейнеров, а потому риск быстрорастущий. Обновления должны быть установлены до того, как уязвимости появятся в арсенале злоумышленников.
Теги:
похожие материалы
Продукт года, Команда года и Проект года – новые номинации на WDA-2027
Премия Workspace Digital Awards открыла пятый сезон и представила новую категорию – «Лидеры года».
ИИ и кибербез стал самым востребованным треком SOC Forum 2026
Трек «AI & Cybersecurity» занял первое место по числу заявок на выступления на SOC Forum 2026.
МИД заявил о преимуществе российских систем спутникового интернета перед западными аналогами
Российские разработчики систем спутникового интернета готовы предоставлять зарубежным государствам не только услуги связи, но и условия для сохранения цифрового суверенитета.
«Яндекс» восстановил большую часть функций умного дома с «Алисой» после атак на дата-центры
Компания «Яндекс» сообщила о восстановлении большинства функций системы умного дома с «Алисой», работа которой была нарушена после серии атак беспилотников на дата-центры.
Anthropic предупредила о появлении ИИ-червей, способных самостоятельно заражать бытовую технику и серверы
Компания Anthropic предупредила о новой потенциальной угрозе кибербезопасности: небольшие модели искусственного интеллекта могут в ближайшие месяцы научиться самостоятельно распространяться между подключёнными к интернету устройствами.
Атакующие почти полностью разрушили 3 из 4 инфраструктур на «Киберарене 2026» в рамках форума GISDAYS
В рамках форума GISDAYS 2026 в Москве на площадке VK Play Arena 30 сентября и 1 октября прошла «Киберарена» — киберполигон компании «Газинформсервис».
Синхронизация интересов: как крупный бизнес и ИТ-вендоры помогают вузам настроить обучение под реальные задачи
В Москве прошел форум «Цифровые решения», где представители власти, сферы образования, крупнейших корпораций и ведущих ИТ-компаний обсудили ход цифровизации госуправления и регионов, влияние технологий на развитие экономики и качество жизни людей, а также уделили особое внимание стратегии и практике создания и внедрения тех решений, что уже сейчас работают и дают реальный эффект.
Security Vision на SOC Forum: кибероперации на скорости ИИ – без потери контроля
Security Vision выступит стратегическим партнером SOC Forum, который пройдет 27-28 октября, и представит концепцию AI-Powered SOC – новый подход к работе центра кибербезопасности, в котором ИИ ускоряет кибероперации, а команда ИБ сохраняет контроль над решениями.
С 8 по 11 сентября 2026 года состоялся юбилейный, 25-й Всероссийский форум «Информационная безопасность. Регулирование. Технологии. Практика. ИнфоБЕРЕГ 2026»
Участники детально проработали приоритетные векторы развития: усиление защиты критической информационной инфраструктуры (КИИ), масштабирование отечественных технологических решений и формирование стандартов безопасного применения искусственного интеллекта.
На Национальном промышленном Конгрессе обсудили шаги для достижения технологического суверенитета страны
12 октября состоялся Национальный промышленный Конгресс PromSpace – главная дискуссионная площадка для обсуждения актуальных вопросов по формированию актуальной промышленной повестки в России, поддержке отечественных производителей, повышению их конкурентоспособности, а также содействию бизнес-инициативам в разработке, производстве и экспорте высокотехнологичной продукции.