Linux内核整数溢出漏洞（CVE-2022-0185）

漏洞详情

国外安全研究人员William Liu和Jamie Hill-Daniel发现Linux内核中包含一个整数溢出漏洞，可导致写操作越界。本地攻击者可以使用这一点导致拒绝服务(系统崩溃)或执行任意代码，在容器场景下拥有CAP_SYS_ADMIN权限的用户可导致容器逃逸到宿主机。目前已存在poc，但尚未发现已公开的利用代码。

漏洞影响

容器内用户拥有CAP_SYS_ADMIN权限，并且内核版本在5.1以及以上。在标准的docker环境下，由于使用了Docker seccomp filter，默认情况下不受该漏洞影响。在Kubernetes场景下，默认禁用了seccomp filter，在内核以及权限满足时受该漏洞影响。

CCE当前不受影响

判断方法

uname -a查看内核版本号

规避和消减措施

CCE集群节点不受该漏洞影响。对于自建的K8s集群，建议用户对工作负载：

1. 最小权限运行容器
2. 根据社区提供的配置方法配置seccomp

相关链接

https://blog.aquasec.com/cve-2022-0185-linux-kernel-container-escape-in-kubernetes

https://ubuntu.com/security/CVE-2022-0185

https://access.redhat.com/security/cve/CVE-2022-0185

https://www.openwall.com/lists/oss-security/2022/01/18/7