Runc漏洞危及Docker与Kubernetes：5步加固容器隔离安全
这些安全漏洞主要通过竞争挂载条件和procfs写入重定向机制来突破容器边界。攻击者需要具备使用自定义挂载配置启动容器的能力，恶意容器镜像和Dockerfile成为主要攻击媒介。
免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈
Docker、Kubernetes等容器平台所依赖的底层运行时runc被曝出三个关键漏洞，攻击者可利用这些漏洞突破容器隔离限制，获取宿主机root权限。目前尚未发现活跃攻击迹象。
这些漏洞利用方式涉及通过竞争挂载条件和procfs写入重定向机制来突破容器边界。攻击者需要掌握通过自定义挂载配置启动容器的技术，其中恶意容器镜像和Dockerfile构成了主要的攻击途径。Sysdig威胁研究团队已全面分析三个漏洞，并为全球受影响组织提供详细缓解建议。
runc漏洞导致容器隔离失效
（CVE-2025-31133）利用runc的maskedPaths功能缺陷，该功能本应保护宿主机敏感文件不被容器访问。攻击者在容器创建阶段将/dev/null替换为符号链接，诱骗runc挂载任意宿主机路径并向/proc/sys/kernel/core_pattern等关键系统文件写入数据，最终实现容器逃逸。
（CVE-2025-52565）针对容器初始化阶段的/dev/console挂载操作。
由于验证机制不完善，攻击者可重定向挂载点获取受保护procfs文件的写入权限。该攻击之所以成功，是因为挂载操作发生在maskedPaths和readonlyPaths保护机制生效之前。
（CVE-2025-52881）使攻击者能通过共享挂载的竞争条件绕过Linux安全模块保护。攻击者可重定向runc写入操作至伪造的procfs文件，进而操控/proc/sysrq-trigger或/proc/sys/kernel/core_pattern等危险系统文件，可能引发系统崩溃或容器逃逸。
受影响版本及修复方案
CVE-2025-31133和CVE-2025-52881影响所有已知runc版本，CVE-2025-52565影响1.0.0-rc3及后续版本。所有漏洞已在runc 1.2.8、1.3.3和1.4.0-rc.3+版本中修复。
使用容器化环境的企业应立即升级至修复版本。Sysdig威胁研究团队建议为所有容器启用用户命名空间，通过限制procfs文件系统访问来阻断关键攻击路径。采用rootless容器可进一步缩小漏洞影响范围。AWS、ECS、EKS等云服务商已于2025年11月5日发布安全更新。
相关攻略
这一发现标志着漏洞挖掘领域的重大范式转变，证明 AI 模型能够通过简单的自然语言提示，在传统软件中发现关键漏洞。 Anthropic 公司的 Claude AI 成功发现了 Vim 和 GNU Em
3月31日消息，据媒体报道，360数字安全集团自主研发的360多智能体协同漏洞挖掘系统，近日在OpenClaw平台中发现了一处高危漏洞——MEDIA协议Prompt注入绕过工具权限，导致本地文件泄露
安全研究员 Hung Nguyen 发现，这一漏洞链揭示了应用程序处理嵌入式文件指令时存在的持续性风险。 开发者广泛使用的文本编辑器 Vim 近日曝出一个高危安全漏洞。该漏洞允许攻击者通过诱骗用户打
F5公司已发布解决方案指南，强烈建议各组织立即遵循最新缓解步骤。 美国网络安全和基础设施安全局（CISA）已将新披露的F5 BIG-IP系统漏洞纳入其已知已利用漏洞（KEV）目录，警告该漏洞正在真实
该漏洞源于Angular处理国际化（i18n）安全敏感HTML属性的方式。虽然Angular默认提供强大的内置净化机制来自动清理恶意输入，但当应用为敏感属性启用国际化时，这一关键保护会被绕过。 漏洞
热门专题
热门推荐
V社联合创始人G胖调整角色：从主导开发转向赋能团队，释放创意生产力 近期一则消息引发游戏行业广泛关注：Valve联合创始人加布·纽维尔（“G胖”）在公司内部进行了一次重要角色转型。此次调整的关键原因，与他个人在公司中的特殊影响力息息相关。根据透露，这位创始人决定减少在具体游戏开发工作中的直接深度参与
红魔姜超透露：全新游戏平板将于四月或五月发布，承诺带来惊艳体验 游戏硬件领域即将迎来重磅更新。努比亚红魔游戏手机的产品线负责人姜超，近日通过社交媒体进行了一次颇具悬念的“前瞻剧透”，成功引发了广大游戏玩家和科技爱好者的高度关注。他明确指出，红魔全新一代游戏平板的发布日期已锁定在四月或五月，并使用了“
金铲铲之战S17天煞羁绊：效果解析与实战应用 在《金铲铲之战》S17赛季中，【天煞】是一个定位独特的专属羁绊，仅由5费英雄“劫”所携带。激活这一羁绊需要特定的前置条件——玩家必须在强化符文选择阶段获得【入侵者劫】。一旦成功解锁，劫将获得全新的技能机制，从而在战局中发挥出颠覆性的作用。 金铲铲之战S1
索尼调整第一方工作室阵容，王牌重制团队蓝点工作室正式“退出”核心名单 近日，索尼在其PlayStation Studios官方网站的更新中做出了一项关键调整，引发了游戏玩家和行业观察者的广泛关注：曾凭借《恶魔之魂：重制版》等作品赢得盛誉的蓝点工作室，已不再出现在索尼核心第一方工作室的名单之中。此次页
未来人类X98W移动工作站正式发布：重新定义移动端专业性能的新标杆 在专业移动计算领域，总有一些产品能够打破常规认知。近日，未来人类（TerransForce）正式在其官网上线了全新的X98W高性能移动工作站，并宣布将于本月内全面发售。这款设备的问世，无疑为那些在移动办公环境中仍需要桌面级别强悍性能