runc无路径容器安全
5 节点1 篇9 来源
runc维护者Fubang Li近期提出“无路径容器设置”（PCS）框架，旨在通过Linux无路径挂载API消除ProcFS作为主要攻击面的风险。这一提议是对2025年披露的一系列高危漏洞（如CVE-2025-52881）的直接回应，这些漏洞允许攻击者通过竞态条件将写入操作重定向至宿主机的关键ProcFS文件，从而绕过LSM标签并实现容器逃逸。
【背景】自2024年初“Leaky Vessels”漏洞以来，runc因内部文件描述符泄漏导致的安全问题频发。2025年11月，Aleksa Sarai指出现有缓解措施仅验证文件是否为ProcFS，但未阻止指向无害或危险ProcFS文件的符号链接重定向。尽管补丁已发布，但根本性的架构缺陷——依赖路径解析进行安全隔离——仍未彻底解决。PCS框架试图从设计上移除对路径解析的信任，代表了容器运行时安全从“修补漏洞”向“重构信任边界”的转变。目前该方案已在部分上游合并，但其对现有生态的兼容性及实际防护效果尚待大规模部署验证。
事情怎么走到这一步
Snyk研究人员发现“Leaky Vessels”漏洞集，其中CVE-2024-21626影响runc，允许通过泄漏的文件描述符访问宿主机文件系统。
csoonline.com ↗GitHub发布GHSA-cgrx-mc8f-2prm等三项高危公告，揭示runc中ProcFS写入重定向攻击可导致容器逃逸和拒绝服务，CVSS评分为7.3-8.2。
github.com ↗Infoworld报道，runc维护者Aleksa Sarai确认AppArmor和SELinux无法完全防御此类重定向写入攻击，建议立即更新至1.2.8/1.3.3版本。
infoworld.com ↗Red Hat发布RHSA-2026:10703安全更新，修复container-tools模块中的runc相关漏洞，包括CVE-2025-31133、CVE-2025-52565和CVE-2025-52881。
access.redhat.com ↗PyTorch官方频道发布视频，runc维护者Fubang Li介绍Pathless Container Setup (PCS)框架，阐述利用Linux无路径挂载API消除路径解析风险的实践。