# runc systemd属性注入漏洞公告（CVE-2024-3154）
业界安全研究人员披露runc systemd属性注入漏洞（CVE-2024-3154），攻击者可将恶意的systemd属性（如：ExecStartPre、ExecStart、ExecReload）注入Pod注解中，进而在宿主机中执行任意操作。
#### 漏洞详情
表1漏洞信息 
| 漏洞类型 | CVE-ID                                                                        | 漏洞级别 | 披露/发现时间    |
|:---|:---|:---|:---|
| 代码执行 | [CVE-2024-3154](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-3154) | 严重   | 2024-04-26 |
   
#### 漏洞影响
攻击者利用runc的systemd cgroup特性进行攻击，可通过在Pod注解中注入恶意的systemd属性（如：ExecStartPre、ExecStart、ExecReload），进而在宿主机中执行任意操作。
CCE集群未使用runc的systemd cgroup特性，因此不受此漏洞影响。
#### 判断方法
您可以在节点上执行命令查看容器运行时使用的cgroup。
- 容器运行时为containerd的节点，执行以下命令：
  ```
  crictl info |grep -i systemdCgroup
  ```
  显示如下：
  ```
  "systemdCgroup": false
  ```
  
- 容器运行时为docker的节点，执行以下命令：
  ```
  docker info |grep "Cgroup"
  ```
  显示如下：
  ```
  Cgroup Driver: cgroupfs
  ```
  
表明容器运行时使用的cgroup系统为cgroupfs，并未使用systemd cgroup，不受此漏洞影响。
#### 漏洞修复方案
华为云CCE集群未开启runc的systemd cgroup特性，不受runc漏洞CVE-2024-3154影响，请放心使用。
#### 相关链接
runc systemd cgroup特性：<https://github.com/opencontainers/runc/blob/main/docs/systemd.md#auxiliary-properties>