CVE-2022-0492
Linux Kernel Improper Authentication Vulnerability
Beschreibung
CVE-2022-0492 ist eine Schwachstelle im cgroups-v1-Feature release_agent des Linux-Kernels, die sich in der Funktion cgroup_release_agent_write in kernel/cgroup/cgroup-v1.c befindet. Die Ursache liegt in unsachgemäßer Authentifizierung und fehlender Autorisierung: Unter bestimmten Umständen erlaubt der Kernel, das release_agent-Feature zu nutzen, um Privilegien zu erhöhen und die Namespace-Isolation unerwartet zu umgehen. Ein lokaler Benutzer mit geringen Rechten oder ein in einem Container laufender Prozess kann diese fehlende Autorisierung ausnutzen, um Root-Rechte auf dem zugrunde liegenden Host zu erlangen, was die Schwachstelle zu einem mächtigen Container-Escape-Primitiv macht. Sie ist bedeutsam, weil sie im KEV-Katalog (Known Exploited Vulnerabilities) der CISA gelistet ist, mit CVSS 7.8 als HIGH eingestuft wird, im 96. EPSS-Perzentil liegt und weit verbreitet für Docker- und Kubernetes-Container-Escapes eingesetzt wird. Da sowohl die unsachgemäße Authentifizierung als auch die fehlende Autorisierung darauf beruhen, dass der Kernel eine privilegierte Operation nicht einschränkt, ist die Ausnutzung zuverlässig und gut dokumentiert.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| netapp | h300s firmware | - |
| netapp | h410c firmware | - |
| netapp | h410s firmware | - |
| netapp | h500s firmware | - |
| netapp | h700s firmware | - |
| netapp | bootstrap os | - |
| linux | linux kernel | >= 2.6.24, < 4.9.301; >= 4.10, < 4.14.266; >= 4.15, < 4.19.229; >= 4.20, < 5.4.177; >= 5.5, < 5.10.97; >= 5.11, < 5.15.20; >= 5.16, < 5.16.6; 5.17 |
| debian | debian linux | 9.0; 10.0; 11.0 |
| redhat | codeready linux builder | 8.0; 8.2 |
| redhat | codeready linux builder for power little endian | 8.0; 8.2 |
| redhat | virtualization host | 4.0 |
| redhat | enterprise linux | 8.0 |
| redhat | enterprise linux eus | 8.2 |
| redhat | enterprise linux for ibm z systems | 8.0 |
| redhat | enterprise linux for ibm z systems eus | 8.0 |
| redhat | enterprise linux for power little endian | 8.0 |
| redhat | enterprise linux for power little endian eus | 8.0 |
| redhat | enterprise linux for real time for nfv tus | 8.0; 8.2 |
| redhat | enterprise linux for real time tus | 8.0; 8.2 |
| redhat | enterprise linux server aus | 8.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/166444/Kernel-Live-Patch-Security-Notice-LSN-0085-1.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/167386/Kernel-Live-Patch-Security-Notice-LSN-0086-1.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/176099/Docker-cgroups-Container-Escape.html(Exploit, VDB Entry)
- https://bugzilla.redhat.com/show_bug.cgi?id=2051505(Issue Tracking, Patch, Third Party Advisory)
- https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=24f6008564183aa120d07c03d9289519c2fe02af(Patch, Vendor Advisory)
- https://lists.debian.org/debian-lts-announce/2022/03/msg00011.html(Mailing List, Third Party Advisory)
- https://lists.debian.org/debian-lts-announce/2022/03/msg00012.html(Mailing List, Third Party Advisory)
- https://security.netapp.com/advisory/ntap-20220419-0002/(Third Party Advisory)
- https://www.debian.org/security/2022/dsa-5095(Third Party Advisory)
- https://www.debian.org/security/2022/dsa-5096(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-0492(US Government Resource)
Schwachstellentyp
CWE-287: Unsachgemäße Authentifizierung
Der Linux-Kernel weist nicht ausreichend nach, dass ein Prozess berechtigt ist, das privilegierte cgroups-v1-Feature release_agent zu nutzen, sodass die Authentifizierungslogik, die diese Operation absichern sollte, umgangen werden kann. Dadurch wird ein Prozess, dem nicht vertraut werden sollte, ein vom Host ausgeführtes Programm zu registrieren, so behandelt, als wäre er vertrauenswürdig, was Privilegienerhöhung und Container-Escape ermöglicht.
Learn more: CWE-287 — Unsachgemäße Authentifizierung
CWE-862: Fehlende Autorisierung
Beim Schreiben in die release_agent-Datei wird keine ausreichende Autorisierungsprüfung durchgeführt, obwohl die Nutzung dieses Features eine privilegierte Aktion ist, deren Verwendung streng eingeschränkt sein sollte. Das Fehlen dieser Prüfung ist die eigentliche Ursache der Privilegienerhöhung, da der Kernel den vom Angreifer kontrollierten Pfad als Root ausführt, ohne zu prüfen, ob der Akteur autorisiert ist.
Learn more: CWE-862 — Fehlende Autorisierung
Auswirkungsanalyse
Diese Schwachstelle erfordert lokalen Zugriff (AV:L) und weist eine geringe Angriffskomplexität (AC:L) auf, sodass ein Angreifer auf dem System sie zuverlässig auslösen kann. Sie benötigt nur geringe Privilegien (PR:L) und keine Benutzerinteraktion (UI:N), wodurch sie für einen Container-Prozess oder einen unprivilegierten lokalen Benutzer leicht erreichbar ist. Der Geltungsbereich bleibt unverändert (S:U), doch die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch (C:H/I:H/A:H), da eine erfolgreiche Ausnutzung über Privilegienerhöhung und Container-Escape zur vollständigen Kompromittierung des Hosts führt. Diese Faktoren ergeben einen CVSS-3.1-Basiswert von 7.8 (HIGH). Der EPSS-Wert von 0,28973 (96,66. Perzentil) weist auf eine hohe reale Ausnutzungsaktivität hin.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung bestätigt, indem sie CVE-2022-0492 in ihren KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen hat. Ein öffentlicher Exploit / Proof-of-Concept ist über Packet Storm Security verfügbar, und die Schwachstelle wird häufig als Docker- und Kubernetes-Container-Escape-Primitiv genutzt. Ihr EPSS-Wert von 0,28973 (96,66. Perzentil) zählt sie zu den am wahrscheinlichsten ausgenutzten Schwachstellen. Eine Verbindung zu Ransomware ist derzeit nicht bekannt.
Behebung
- Befolgen Sie die von der CISA im KEV geforderte Maßnahme: "Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable."
- Aktualisieren Sie den Linux-Kernel auf eine korrigierte Version für Ihren Zweig (zum Beispiel >= 5.16.6, 5.15.20, 5.10.97, 5.4.177, 4.19.229, 4.14.266 oder 4.9.301; siehe kernel.org-Patch-Commit 24f6008564183aa120d07c03d9289519c2fe02af) und spielen Sie die Patches Ihrer Distribution ein (Debian, Red Hat, NetApp sowie Ubuntu-Livepatches).
- Als vorübergehende Gegenmaßnahme aktivieren Sie eine verbindliche Zugriffskontrolle mit AppArmor oder SELinux (diese blockiert den Missbrauch von
release_agent), entziehen Sie Containern die CapabilityCAP_SYS_ADMIN, verwenden Sie User-Namespaces und betreiben Sie Container unprivilegiert. - Überwachen Sie unerwartete Schreibzugriffe auf
release_agent, ungeklärte Privilegienerhöhungen und Anzeichen für einen Container-Ausbruch. - Zur langfristigen Härtung erzwingen Sie strenge Autorisierungs- und Authentifizierungsprüfungen für privilegierte Kernel-Features und wenden Sie das Prinzip der geringsten Rechte an, damit Prozesse keine Operationen erreichen können, zu deren Nutzung sie nicht berechtigt sind.
Technische Details
Der Fehler befindet sich in cgroup_release_agent_write in kernel/cgroup/cgroup-v1.c, wo das cgroups-v1-Feature release_agent genutzt werden kann, um Privilegien zu erhöhen und die Namespace-Isolation zu umgehen. Ein Prozess mit ausreichendem, aber unprivilegiert erreichbarem Zugriff, etwa CAP_SYS_ADMIN innerhalb eines User-Namespace, schreibt einen vom Angreifer kontrollierten release_agent-Pfad, den der Kernel anschließend als Root auf dem Host ausführt. Der Angriff entspricht dem CVSS-Vektor aus lokalem Zugriff, geringer Komplexität, geringen Privilegien und fehlender Benutzerinteraktion bei voller Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Beide zugehörigen Schwächen treffen hier zu: Die Nutzung dieses Features sollte streng authentifiziert sein (CWE-287), doch der Kernel führt keine ausreichende Autorisierungsprüfung (CWE-862) durch, bevor er die privilegierte Operation zulässt.
Häufig gestellte Fragen
Wird CVE-2022-0492 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2022-0492 in ihren KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen und damit die aktive Ausnutzung bestätigt. Ein öffentlicher Proof-of-Concept ist verfügbar, und die Schwachstelle wird häufig als Docker- und Kubernetes-Container-Escape-Primitiv genutzt. Ihr EPSS-Wert von 0,28973 (96,66. Perzentil) zählt sie zu den am wahrscheinlichsten ausgenutzten Schwachstellen.
Welche Produkte sind von CVE-2022-0492 betroffen?
Die Schwachstelle betrifft den Linux-Kernel über einen breiten Bereich von 2.6.24 bis zu den korrigierten Versionen (< 4.9.301, < 4.14.266, < 4.19.229, < 5.4.177, < 5.10.97, < 5.15.20, < 5.16.6 und 5.17). Betroffen sind außerdem NetApp-HCI-Firmware (H300S, H410C, H410S, H500S, H700S und Bootstrap OS), Debian 9, 10 und 11 sowie mehrere Red-Hat-Enterprise-Linux-Produkte.
Wie behebe ich CVE-2022-0492?
Aktualisieren Sie den Linux-Kernel auf eine korrigierte Version für Ihren Zweig (zum Beispiel >= 5.16.6, 5.15.20, 5.10.97, 5.4.177, 4.19.229, 4.14.266 oder 4.9.301) und spielen Sie die Patches Ihrer Distribution ein. Als vorübergehende Gegenmaßnahmen aktivieren Sie AppArmor oder SELinux, entziehen Sie Containern CAP_SYS_ADMIN, verwenden Sie User-Namespaces und betreiben Sie Container unprivilegiert.
Wie schwerwiegend ist CVE-2022-0492?
Sie ist mit einem CVSS-3.1-Basiswert von 7.8 als HIGH eingestuft. Eine erfolgreiche Ausnutzung erfordert nur lokalen Zugriff und geringe Privilegien, führt aber über Privilegienerhöhung und Container-Escape zur vollständigen Kompromittierung des Hosts mit hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.