CISA ostrzega przed luką w Linuxie umożliwiającą ucieczkę z kontenera. Należy pilnie aktualizować

Amerykańska agencja ds. cyberbezpieczeństwa CISA dodała do swojego katalogu znanych, wykorzystywanych podatności (Known Exploited Vulnerabilities) lukę w jądrze Linuxa opisaną jako CVE-2022-0492. Problem istnieje w jądrze od lat, ale dopiero teraz odnotowano jego aktywne wykorzystywanie w atakach. Luka pozwala na tzw. ucieczkę z kontenera (container escape) i eskalację uprawnień, co może prowadzić do przejęcia kontroli nad całym systemem operacyjnym.

Na czym polega podatność i kogo dotyczy?

Jak wynika z informacji opublikowanych przez SecurityWeek oraz CISA, CVE-2022-0492 to podatność związana z nieprawidłowym uwierzytelnianiem w mechanizmie cgroups v1 – funkcji jądra Linuxa służącej do kontrolowania, jakie zasoby systemowe (CPU, pamięć, I/O) może wykorzystywać dany proces. W połączeniu z przestrzeniami nazw (namespaces) cgroups są podstawą do tworzenia lekkich środowisk izolowanych, czyli kontenerów.

Problem polega na tym, że w cgroups v1 każdy użytkownik (także ten bez uprawnień) może modyfikować plik release_agent znajdujący się w katalogu głównym hierarchii cgroup. Ten plik jest wykonywany z uprawnieniami roota w momencie, gdy dana grupa procesów (cgroup) staje się pusta. Atakujący może więc – po stworzeniu własnej przestrzeni nazw z uprawnieniami administracyjnymi – utworzyć nowy cgroup z odpowiednio spreparowanym wpisem w pliku release_agent. Wskazuje on na złośliwy skrypt, który następnie zostanie uruchomiony przez jądro jako root, co oznacza ucieczkę z kontenera i pełne przejęcie systemu.

Skala zagrożenia i dotychczasowe ataki

Choć techniczne szczegóły podatności są znane od około trzech lat, to dopiero w pierwszych dniach czerwca 2026 roku CISA oficjalnie potwierdziła jej aktywne wykorzystywanie. Firma Kaspersky opisała ataki na środowiska kontenerowe, w których wykorzystano CVE-2022-0492, jednak nie ujawniła szczegółów dotyczących sprawców ani ofiar. Podatność otrzymała ocenę 7.8 w skali CVSS, co oznacza wysoki poziom ryzyka.

Należy podkreślić, że luka dotyczy wyłącznie pierwszej wersji mechanizmu cgroups (cgroups v1). Wiele nowoczesnych dystrybucji Linuxa domyślnie korzysta już z cgroups v2, która nie jest podatna. Administratorzy powinni zweryfikować, z której wersji korzystają ich systemy.

Zalecenia i sposób zabezpieczenia

Najważniejszym krokiem jest niezwłoczne zastosowanie poprawek wydanych przez dystrybutorów systemów Linux. CISA nakazała agencjom federalnym USA załatowanie luki do 5 czerwca 2026 roku. Polscy administratorzy powinni postąpić podobnie i jak najszybciej zainstalować dostępne aktualizacje jądra.

Dodatkowo, jeśli nie ma możliwości natychmiastowej aktualizacji, można zastosować następujące zabezpieczenia tymczasowe:

• Przejście na cgroups v2 – jeśli system na to pozwala, zmiana domyślnej wersji eliminuje ryzyko.
• Monitorowanie zachowań kontenerów – wdrożenie systemów wykrywających próby manipulowania plikiem release_agent.
• Ograniczenie uprawnień użytkowników – uniemożliwienie zwykłym użytkownikom tworzenia nowych przestrzeni nazw (user namespaces) tam, gdzie nie jest to konieczne.
• Regularne przeglądanie logów pod kątem nietypowych procesów uruchamianych z wysokimi uprawnieniami.

Warto także śledzić komunikaty własnej dystrybucji Linuxa oraz informacje od CISA, ponieważ katalog KEV jest na bieżąco aktualizowany o nowe zagrożenia.

Podsumowanie i dalsze kroki

Podatność CVE-2022-0492 pokazuje, że nawet kilkuletnie, teoretycznie dobrze opisane luki mogą zostać wykorzystane w praktyce, gdy tylko pojawi się odpowiedni wektor ataku. Dla polskich firm i administracji publicznej korzystających z konteneryzacji oznacza to konieczność przeglądu konfiguracji i szybkiego łatania systemów. Aktualizacja jądra Linuxa do wersji, w której cgroups v1 zostało wyłączone lub załatane, jest obecnie najskuteczniejszą ochroną. W dłuższej perspektywie warto rozważyć migrację do cgroups v2, która oferuje bardziej restrykcyjny model bezpieczeństwa i jest wolna od tego typu błędów.