Runc漏洞危及Docker与Kubernetes:5步加固容器隔离安全
这些安全漏洞主要通过竞争挂载条件和procfs写入重定向机制来突破容器边界。攻击者需要具备使用自定义挂载配置启动容器的能力,恶意容器镜像和Dockerfile成为主要攻击媒介。
Docker、Kubernetes等容器平台所依赖的底层运行时runc被曝出三个关键漏洞,攻击者可利用这些漏洞突破容器隔离限制,获取宿主机root权限。目前尚未发现活跃攻击迹象。
这些漏洞利用方式涉及通过竞争挂载条件和procfs写入重定向机制来突破容器边界。攻击者需要掌握通过自定义挂载配置启动容器的技术,其中恶意容器镜像和Dockerfile构成了主要的攻击途径。Sysdig威胁研究团队已全面分析三个漏洞,并为全球受影响组织提供详细缓解建议。

runc漏洞导致容器隔离失效
(CVE-2025-31133)利用runc的maskedPaths功能缺陷,该功能本应保护宿主机敏感文件不被容器访问。攻击者在容器创建阶段将/dev/null替换为符号链接,诱骗runc挂载任意宿主机路径并向/proc/sys/kernel/core_pattern等关键系统文件写入数据,最终实现容器逃逸。
(CVE-2025-52565)针对容器初始化阶段的/dev/console挂载操作。

由于验证机制不完善,攻击者可重定向挂载点获取受保护procfs文件的写入权限。该攻击之所以成功,是因为挂载操作发生在maskedPaths和readonlyPaths保护机制生效之前。
(CVE-2025-52881)使攻击者能通过共享挂载的竞争条件绕过Linux安全模块保护。攻击者可重定向runc写入操作至伪造的procfs文件,进而操控/proc/sysrq-trigger或/proc/sys/kernel/core_pattern等危险系统文件,可能引发系统崩溃或容器逃逸。
受影响版本及修复方案
CVE-2025-31133和CVE-2025-52881影响所有已知runc版本,CVE-2025-52565影响1.0.0-rc3及后续版本。所有漏洞已在runc 1.2.8、1.3.3和1.4.0-rc.3+版本中修复。
使用容器化环境的企业应立即升级至修复版本。Sysdig威胁研究团队建议为所有容器启用用户命名空间,通过限制procfs文件系统访问来阻断关键攻击路径。采用rootless容器可进一步缩小漏洞影响范围。AWS、ECS、EKS等云服务商已于2025年11月5日发布安全更新。
相关攻略
网络安全的战场,正在经历一场静默但深刻的革命。AI技术的渗透,早已不是纸上谈兵,它正从根本上改写攻防双方的博弈规则。最近,上海谋乐网络科技有限公司(BUGBANK)的一场新品发布会,将这种“AI对AI”的对抗模式,从概念推向了实战前沿。 一个不容忽视的趋势是,网络安全的竞争核心,正从过去的人力与经验
近日,Linux生态系统中一项基础且至关重要的服务——打印服务CUPS被披露存在高危安全漏洞。根据网络安全媒体cyberkendra的报道,攻击者无需任何身份凭证,即可通过远程方式执行恶意代码,并最终获取系统的最高root权限。 这组漏洞由安全研究员Asim Manizada在人工智能工具的辅助下发
最近安全圈有个挺值得关注的消息:360自主研发的漏洞挖掘智能体,成功揪出了两个潜伏多年的“大家伙”——一个是Windows内核提权漏洞,另一个是Office远程代码执行漏洞。这两个漏洞可不是小打小闹,影响范围覆盖全球超过10亿的Windows和Office用户,从个人电脑到政企办公系统,甚至关键基础
就在“Copy Fail”漏洞的余波尚未平息之际,Linux内核安全领域再次遭遇重击。一个被命名为“Dirty Frag”的本地权限提升漏洞被公开披露,其威胁等级被安全专家评估为“核弹级”。与需要复杂前置条件的漏洞不同,任何本地用户理论上都可以通过运行一个利用程序,在短时间内获得系统的最高管理员权限
Linux 安全警报:一个稳定、隐蔽且极易利用的本地提权漏洞 最近,Linux安全领域曝出一个必须拉响最高级别警报的漏洞。它的代号是“Copy Fail”,编号CVE-2026-31431。这可不是那种需要复杂前置条件、利用起来看运气的“理论型”漏洞,而是一个能在本地稳定触发、一击即中的权限提升漏洞
热门专题
热门推荐
公安部就电子数据取证规则公开征求意见,拟将网络安全等行政案件纳入适用范围,并规范取证流程与核心概念。新规特别明确了获取密码、调取通讯内容等特殊程序,需经严格审批并保障当事人权利。配套法律文书也同步优化,以构建更规范且注重权利保障的取证体系。
理想L9和LIvis的定价策略刚掀起波澜,小鹏GX的最终价格就给出了更猛烈的回应——从近40万元的预售价直降至27万元起。用小鹏产品矩阵负责人吴安飞的话说,这叫“9系的产品,8系的价格”。 这12万元的下调,效果堪称立竿见影。发布会次日,小鹏集团港股股价一度大涨超8%。更关键的是市场订单:上市12小
5月21日,环塔拉力赛新疆且末赛段大营迎来了一位备受瞩目的访客——知名零售企业胖东来的创始人于东来。他专程前往长城汽车车队营地,与参赛车手及后勤团队进行了深度交流。据悉,于东来此次自驾越野之旅已历时一月,随行车队中包含多款国产越野车型。经过实地驾驶与多维度对比,他对以长城汽车为代表的国产越野车品质给
比特币官方入口在哪里?一个核心门户的权威指南 说起比特币,很多人第一反应是去找它的“官网”或“官方App”。但这里有个关键点需要先理清:比特币本质上是一种去中心化的全球数字货币,它不属于任何一家公司或机构,而是由一个庞大的、遍布全球的社区共同维护。因此,它并没有传统意义上由某个企业运营的“官方网站”
Ring-2 5-1T是什么 在当今大模型技术激烈竞争的赛道上,追求更长的上下文处理能力和更强大的深度推理性能已成为核心焦点。近日,蚂蚁集团旗下的inclusionAI团队重磅开源了Ring-2 5-1T模型,这是一个参数规模高达万亿级别的混合线性思考大语言模型。该模型基于先进的Ling 2 5架构





