[English]In den Microsoft Azure Functions gibt es Schwachstellen, die sich ausnutzen lassen, um Privilegien zu escalieren und dann auch Docker-Containern auszubrechen. Tangiert die Microsoft Azure Cloud-Funktionen, sofern Docker-Container genutzt werden.
Anzeige
Das Sicherheitsthema ist mir die Woche unter die Augen gekommen – ich hatte es am Rande bei The Hacker News in diesem Beitrag wahrgenommen, bin dann aber auf Twitter über nachfolgenden Tweet auf den Artikel der Entdecker gestoßen.
Was ist Azure Functions?
Azure Functions ist ein serverloser Rechendienst, mit dem Benutzer Code ausführen können, ohne eine Infrastruktur bereitstellen oder verwalten zu müssen. Azure Functions ist das Äquivalent von Microsoft zum bekannten Lambda-Dienst von Amazon Web Services, schreiben die Leute von interzer.com. Die Microsoft Dokumentation ist hier abrufbar.
Azure Functions können durch HTTP-Anfragen ausgelöst werden und sollen nur wenige Minuten laufen, um das Ereignis zu verarbeiten. Hinter den Kulissen wird der Code des Benutzers in einem von Azure verwalteten Container ausgeführt und bedient, ohne dass der Benutzer seine eigene Infrastruktur verwalten muss. Eigentlich sollte dieser Code sicher segmentiert sein und nicht aus seiner eingeschränkten Umgebung ausbrechen können.
Anzeige
Ausbruch aus dem Azure Container
Sicherheitsforscher Paul Litvak hat jedoch eine Schwachstelle in Microsoft Azure Functions aufgedeckt, die von einem Angreifer genutzt werden könnte, um Privilegien zu erweitern und aus dem Docker-Container zu entkommen, in dem sie gehostet werden. Die technischen Details hat er im bereits erwähnten intezer.com Blog-Beitrag beschrieben.
(Quelle: Youtube)
In einem Proof-of-Concept (PoC) war es Litvak möglich, aus einem Docker Container heraus einen PowerShell-Befehl auf dem Host auszuführen (siehe obiges Video). Nach der Offenlegung gegenüber Microsoft gab es die Rückmeldung, "dass die Schwachstelle keine Sicherheitsauswirkungen auf die Benutzer von Functions habe, da der Host selbst noch durch eine andere Verteidigungsgrenze gegen die erhöhte Position geschützt sei".
Anzeige
