Krytyczna luka w Gitea act_runner umożliwiająca eskalację uprawnień w kontenerach Docker

Co wiadomo

W Gitea act_runner z backendem Docker (poprzez act 0.262.0) występuje luka, która pozwala użytkownikowi uruchamiającemu workflow na Docker-backed runnerze na stworzenie kontenera z szerokimi uprawnieniami i dostępem do przestrzeni nazw hosta, mimo wyłączonego trybu uprzywilejowanego. Luka ta umożliwia ucieczkę z kontenera do hosta z uprawnieniami root.

Wpływ biznesowy

Dla operatorów IT i właścicieli infrastruktury oznacza to poważne ryzyko naruszenia izolacji kontenerów oraz eskalacji uprawnień, co może prowadzić do pełnego przejęcia systemu hosta. Atakujący mogą wykorzystać tę lukę do uzyskania dostępu do zasobów i danych poza kontenerem, co zagraża bezpieczeństwu całej platformy kontenerowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne przejrzenie dostępnych aktualizacji i poprawek od dostawcy Gitea oraz narzędzia act. W międzyczasie warto ograniczyć możliwość uruchamiania workflowów na Docker-backed runnerach do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz minimalizować ekspozycję środowisk kontenerowych. Priorytetem jest szybkie wdrożenie dostępnych łatek bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference