runc维护者Fubang Li解析ProcFS攻击面与无路径容器安全架构
在PyTorch官方频道发布的视频中,runc维护者及Pathless Container Setup(PCS)框架首席研究员Fubang Li介绍了针对容器运行时安全的最新架构演进。演讲聚焦于ProcFS作为runc容器逃逸最持久攻击面的问题,指出其占2017年至2025年间所有路径相关CVE的60%。
Li在描述中回顾了从早期TOCTOU符号链接劫持到现代绑定挂载逃逸的攻击演变,并提出了PCS框架的文件描述符中心设计。该设计利用现代Linux无路径挂载API(如fsopen和fsmount)来完全消除路径解析风险。据发布者称,这一方案已上游合并至runc并在全球公有云中部署,旨在缓解所有9个已知的路径相关CVE并提供加固最佳实践。
信息源:youtube.com