Container breakout örnekleri, bir konteynerin içinden çıkıp onu barındıran ana bilgisayara sıçramanın mümkün olduğu somut yolları tanımlar. Konteynerler, süreçleri Linux çekirdeğinin namespace ve cgroup özellikleriyle izole eder; ancak bu izolasyon bir sanal makine kadar sert değildir, çünkü tüm konteynerler aynı çekirdeği paylaşır. İşte breakout senaryoları bu paylaşılan zemindeki çatlaklardan doğar.

Container breakout, konteynerin mantıksal sınırını aşarak, aynı çekirdeği paylaşan ana sistem üzerinde konteyner dışı yetkiler elde etme eylemidir.

Yanlış Yapılandırmadan Doğan Kaçışlar

En sık görülen breakout, bir zafiyetten değil, hatalı yapılandırmadan kaynaklanır. Ayrıcalıklı kipte (privileged) başlatılan bir konteyner, ana sistemin aygıtlarına neredeyse tam erişime sahiptir; içinden ana diski bağlayıp dosya sistemine yazmak mümkün hale gelir. Benzer şekilde, Docker soketinin (/var/run/docker.sock) konteyner içine bağlanması, o konteynerin ana sistemde yeni ve ayrıcalıklı konteynerler başlatmasına olanak tanır; bu da fiilen ana sisteme root erişimi demektir. Bu senaryolar, sağlam bir konteyner güvenliği duruşunun neden yapılandırma disipliniyle başladığını gösterir.

Çekirdek ve Çalışma Zamanı Zafiyetleri

İkinci kategori, doğrudan yazılım açıklarına dayanır. runc çalışma zamanındaki CVE-2019-5736 açığı, konteyner içindeki bir saldırganın ana sistemdeki runc ikili dosyasının üzerine yazarak bir sonraki konteyner çalıştırıldığında ana sistemde kod çalıştırmasına imkân verdi. Çekirdek düzeyinde ise Dirty COW gibi zafiyetler, paylaşılan çekirdeği hedef alarak konteyner içinden ana sistemde yetki kazanmanın kapısını araladı. Bu örneklerin ortak dersi, paylaşılan çekirdeğin konteyner izolasyonunun en zayıf halkası olduğudur.

Breakout’un Anatomisi

Tipik bir kaçış zinciri şu adımları izler:

• Konteyner içinde ilk kod çalıştırma elde edilir, genellikle savunmasız bir uygulama üzerinden.
• Konteynerin hangi ayrıcalıklarla ve yeteneklerle (capabilities) çalıştığı keşfedilir.
• Ayrıcalıklı kip, bağlı bir soket ya da sömürülebilir bir çekirdek açığı gibi bir kaçış vektörü belirlenir.
• Bu vektör kullanılarak ana sistem dosya sistemine yazılır veya ana sistemde süreç başlatılır.
• Ana sistem üzerinde kalıcılık ve komşu konteynerlere yayılma sağlanır.

Savunma

Breakout riskini düşürmenin temeli, konteynerleri en az ayrıcalıkla çalıştırmaktır: ayrıcalıklı kipten kaçınmak, gereksiz Linux yeteneklerini kaldırmak, kök olmayan kullanıcıyla çalışmak ve seccomp gibi profilleri etkinleştirmek. Bu önlemler, konteyner içinde elde edilen bir kod çalıştırmanın bir yetki yükseltme adımına dönüşmesini büyük ölçüde engeller. Çalışma zamanını ve çekirdeği güncel tutmak ise bilinen konteynerden kaçış açıklarını kapatmanın tek yoludur.

Kurumsal Etki

Bir breakout, çok kiracılı bir platformda bir müşterinin iş yükünden diğerine geçişi ya da tek bir zayıf uygulamadan tüm küme düğümünün ele geçirilmesini mümkün kılabilir. Konteyner ortamınızın bu senaryolara karşı gerçek direncini ölçmenin en etkili yolu, saldırgan tekniklerini kontrollü biçimde uygulayan bir red team hizmeti ile izolasyon sınırlarınızı sınamaktır.