Сегодня продолжим атакующую тему. Executing Arbitrary Code & Executables in Read-Only FileSystems – статья, в которой рассказывается о том, как можно выполнять произвольный код в readOnly FS. Самое крутое, что тут всё описывается в контексте в Kubernetes.

Автор статьи разбирает три способа:

1) Если в контейнере есть /bin/bash, с использованием тулзы DDexec (о ней мы рассказывали в одном из предущих постов)
2) Через /dev/tcp
3) С помощью специально приготовленного бинарника

Отдельно отмечаются директории, куда можно писать и исполняться – даже при выставленной readOnly FS в контейнере: /dev/shm и /dev/termination-log. По нашему опыту аудитов контейнерных сред – это очень сильно помогает, когда контейнер слишком захарденен, а запустить свои инструменты внутри контейнера очень нужно.

Чтобы предотвратить такие кейсы, можно использовать SELinux, ограничив доступ к /proc/[pid]/mem или execmem.