OpenShift Source-To-Image 安全漏洞 - CVE-2018-1102

红帽产品安全团队对 Red Hat OpenShift Container Platform 3 中的 S2I（source-to-image）构建功能中的一个安全漏洞做成响应。一个没有相应权限的攻击者可以利用这个漏洞提升自己的权限来访问主机系统。这个安全漏洞已被记录为 CVE-2018-1102，它的严重性级别被定为 Critical。

背景信息

这个问题会影响到 source-to-image 构建策略。任何具有 system:authenticated 角色的用户（在默认情况下，它包括任何可以登录到 OpenShift 的用户）都可以使用这个策略。

这个问题是由 Michael Hanselmann 直接向红帽报告的。

安全漏洞详情

通过创建一个特殊设计的 tar 归档，攻击者在镜像构建的过程中可以滥用 S2I 中的 untar 构建功能，以达到提升权限的目的，进而可能破坏运行 OpenShift 的底层主机的操作系统。

采取行动

“影响”页中包括了受影响的红帽产品的信息。“解决方案”页中包括缓解这个安全问题以及进行更新的信息。

受影响的产品

红帽产品安全团队把此安全漏洞的影响定级为 Critical。工具者可以远程利用这个漏洞获得一个 OpenShift 节点的 root 访问权限。

以下红帽产品的版本会受到影响：

• OpenShift Container Platform 3.0-3.9
• OpenShift Online v3.x*
• OpenShift Dedicated v3.x*

*红帽已对受影响的服务应用了相应的补丁程序。  

诊断您的环境是否存在漏洞

当前，还没有一个统一的方法可以检查到恶意用户获得了访问系统的权限。红帽推荐用户在系统中使用完善的安全措施，并使用基于风险程度的方式对系统进行维护，记录并检测潜在的安全攻击行为。要决定一个集群是否存在安全漏洞，请检查在 master 上运行的 atomic-openshift 软件包的版本。这个服务用来控制决定所使用的 source-to-image 构建镜像的代码。对于每个 OpenShift 的次发行版本，在 master 上运行以下版本或更高版本的系统已应用了相关的补丁程序：

• 3.9: atomic-openshift-3.9.25-1.git.0.6bc473e.el7
• 3.8: atomic-openshift-3.8.37-1.git.0.e85a326.el7
• 3.7: atomic-openshift-3.7.44-1.git.0.6b061d4.el7
• 3.6: atomic-openshift-3.6.173.0.113-1.git.0.65fb9fb.el7
• 3.5: atomic-openshift-3.5.5.31.67-1.git.0.0a8cf24.el7
• 3.4: atomic-openshift-3.4.1.44.53-1.git.0.d7eb028.el7

对于版本 3.1 到版本 3.3，还需要额外的操作步骤。在每个 OpenShift 的节点主机上运行：

`$sudo docker images | grep ose-sti-builder`
registry.access.redhat.com/openshift3/ose-sti-builder       v3.3.46.38      cee523a4e55c   2 weeks ago     608 MB

在这个例子中，cee523a4e55c 代表了一个未应用补丁程序的镜像。因为这些镜像和最新发行的版本有相同的版本号，所以还需要检查 sha256 sum 的值。已应用补丁程序的镜像的相应 checksums 值为：

• 3.3:  registry.access.redhat.com/openshift3/ose-sti-builder:v3.3.1.46.38 (b285a30ab8e0)
• 3.2:  registry.access.redhat.com/openshift3/ose-sti-builder:v3.2.1.34 (b536950df3d8)
• 3.1: registry.access.redhat.com/openshift3/ose-sti-builder:v3.1.1.11 (de9eb6fe3b01)

如果未应用补丁的镜像可以被删除，则删除它。这会在下次需要它的时候下载一个全新的（已应用了补丁程序的）镜像：

$ sudo docker rmi cee523a4e55c

请注意：checksum 的值可能会与以上列出的不同，这里使用的值是通过 `sudo docker images | grep ose-sti-builder` 获得的。

一些情况会导致这个操作失败。如果是因为 “image is in use by stopped container xyz” 错误造成的，我们可以为镜像再添加一个 arbitrary tag，这将会删除当前的版本 tag 而不会产生错误。这样，在镜像再次需要使用时就会下载一个全新的（已应用了补丁程序的）镜像。

$ BADIMAGE=cee523a4e55c
$ BADVERS=v3.3.46.38
$ sudo docker tag $BADIMAGE    registry.access.redhat.com/openshift3/ose-sti-builder:donotuse
$ sudo docker rmi registry.access.redhat.com/openshift3/ose-sti-builder:$BADVERS