#runc — Public Fediverse posts

#POSIX mandates creating files through dangling symbolic links which opens the door for attack vectors which are still relevant today as we see from the #runc breaks where the attacker can plant a dangling symlink at /dev/{null,console} to create trouble. As of 3.45.0, #sydbox implies O_NOFOLLOW at open(2) boundary for O_CREAT unless O_EXCL was also passed. The mitigation can be disabled with the option "trace/allow_unsafe_create:1". See 2nd paragraph: https://man.exherbo.org/syd.7.html#Trusted_File_Creation #linux #security

🚨 All channels include critical fixes for runc vulnerabilities -
CVE-2025-31133, CVE-2025-52565, CVE-2025-52881. Update soon to stay safe!
#Flatcar #Security #runc

Runc Vulnerabilities Can Be Exploited to Escape Containers https://www.securityweek.com/runc-vulnerabilities-can-be-exploited-to-escape-containers/ #Vulnerabilities #vulnerability #container #Runc

Alert: Three critical runC vulnerabilities (CVE-2025-31133, CVE-2025-52565, CVE-2025-52881) enable mount/symlink-based escapes that may redirect writes to /proc or other host targets. A successful exploit requires container start privileges via crafted mounts or malicious images/Dockerfiles. Patches: runC 1.2.8 / 1.3.3 / 1.4.0-rc.3+.
Detection & mitigation guidance:
• Patch runC immediately.
• Deploy rootless containers and enable user namespaces without host root mapping.
• Monitor for rapid symlink creation, unexpected bind mounts of /dev/null or /dev/console, and anomalous writes to procfs entries (e.g., /proc/sysrq-trigger).
• Harden CI/CD image provenance checks and disallow unverified custom mount configurations.
Share any YARA/OSQuery/Suricata rules you’ve validated — let’s collate detection patterns. Follow TechNadu for vetted technical advisories.

#containersecurity #runC #CVE #Kubernetes #Docker #threathunting #DFIR #DevSecOps

#Kubernetes: Newly disclosed #vulnerabilities in the #runC container runtime used in #Docker & Kubernetes (CVE-2025-31133, CVE-2025-52565, CVE-2025-52881) could be exploited to bypass isolation restrictions & get access to the host system (escape):
#k8s

https://www.bleepingcomputer.com/news/security/dangerous-runc-flaws-could-allow-hackers-to-escape-docker-containers/

Runc breaks pods when CPU requests aren't multiples of 10

https://github.com/opencontainers/runc/issues/4982

#HackerNews #Runc #CPU #issues #Kubernetes #Pods #Multiples #of #10 #Containerization

Внутреннее устройство Docker. Заглянем под капот

Сначала были физические серверы - дорогие и неэффективные. Затем пришли виртуальные машины , которые позволили запускать несколько изолированных ОС на одном железе. Но цена изоляции оставалась высокой: полная копия ОС, гигабайты диска, минуты на запуск. Контейнеры - следующий шаг эволюции. Зачем виртуализировать целое железо и запускать полноценную ОС, если можно изолировать только сам процесс , используя встроенные механизмы ядра? Этот подход на порядок легче, быстрее и эффективнее.

https://habr.com/ru/articles/963702/

#docker #containerd #runc #linux #containers #container #контейнеризация #докер #devops #линукс

If you use runc for your underlying container runtime (the default in many environments including Docker and many Kubernetes installs), there's a security update that just came out today. https://github.com/opencontainers/runc/releases/tag/v1.3.3
#runc #docker #kubernetes #containers

Symlinks strike again! This time with 3 #container breakouts in #runc. Other runtimes including #youki and #crun are also affected. #sydbox' syd-oci is also affected which is based on #youki. Expect updates soon: https://www.openwall.com/lists/oss-security/2025/11/05/3 #exherbo #linux #security #podman

How #Container Filesystem Works: Building a #Docker like Container From Scratch

https://labs.iximiuz.com/tutorials/container-filesystem-from-scratch

#Linux #HPC #Podman #runc

Docker изнутри: исчерпывающее руководство. Механизмы контейнеризации + примеры, эксперименты и реализация

Docker — не магия, а грамотное применение механизмов Linux. Разбираем инструмент, который пугает своей сложностью не меньше блокчейна. Показываем на пальцах как работают: Namespaces, Cgroups, OverlayFS – основные компоненты любого контейнера, и как стандарт OCI объединяет их в единую экосистему. Об этом и не только в статье.

https://habr.com/ru/articles/935178/

#docker #контейнеризация #namespaces #cgroups #linux_kernel #виртуализация #runc #golang #linux

Docker изнутри: исчерпывающее руководство. Механизмы контейнеризации + примеры, эксперименты и реализация

Docker — не магия, а грамотное применение механизмов Linux. Разбираем инструмент, который пугает своей сложностью не меньше блокчейна. Показываем на пальцах как работают: Namespaces, Cgroups, OverlayFS – основные компоненты любого контейнера, и как стандарт OCI объединяет их в единую экосистему. Об этом и не только в статье.

https://habr.com/ru/articles/935178/

#docker #контейнеризация #namespaces #cgroups #linux_kernel #виртуализация #runc #golang #linux

Docker изнутри: исчерпывающее руководство. Механизмы контейнеризации + примеры, эксперименты и реализация

Docker — не магия, а грамотное применение механизмов Linux. Разбираем инструмент, который пугает своей сложностью не меньше блокчейна. Показываем на пальцах как работают: Namespaces, Cgroups, OverlayFS – основные компоненты любого контейнера, и как стандарт OCI объединяет их в единую экосистему. Об этом и не только в статье.

https://habr.com/ru/articles/935178/

#docker #контейнеризация #namespaces #cgroups #linux_kernel #виртуализация #runc #golang #linux

Docker изнутри: исчерпывающее руководство. Механизмы контейнеризации + примеры, эксперименты и реализация

Docker — не магия, а грамотное применение механизмов Linux. Разбираем инструмент, который пугает своей сложностью не меньше блокчейна. Показываем на пальцах как работают: Namespaces, Cgroups, OverlayFS – основные компоненты любого контейнера, и как стандарт OCI объединяет их в единую экосистему. Об этом и не только в статье.

https://habr.com/ru/articles/935178/

#docker #контейнеризация #namespaces #cgroups #linux_kernel #виртуализация #runc #golang #linux

🏗️ Supports distributable workers, multiple output formats & pluggable architecture for maximum flexibility
🔒 Execution without root privileges using #runc or #crun backends with #containerd worker support

#runc is https://athleticsonnenberg.de/neu-runc-das-projekt/
fight me

Implementing #Container Runtime #Shim: #runc

https://iximiuz.com/en/posts/implementing-container-runtime-shim/

Implementing #Container Runtime #Shim: #runc

https://iximiuz.com/en/posts/implementing-container-runtime-shim/

Implementing #Container Runtime #Shim: #runc

https://iximiuz.com/en/posts/implementing-container-runtime-shim/

Implementing #Container Runtime #Shim: #runc

https://iximiuz.com/en/posts/implementing-container-runtime-shim/

Implementing #Container Runtime #Shim: #runc

https://iximiuz.com/en/posts/implementing-container-runtime-shim/

Nieszczelne naczynka w Dockerze ( https://nfsec.pl/security/6571 ) #docker #kubernetes #security #runc #twittermigration

https://www.youtube.com/watch?v=tontApWVEjA

Mal abgesehen davon, dass diese Lücken in #Docker buildkit und #runc wirklich unschön sind, man kann Docker, #Podman, containerd, runc etc. rootless laufen lassen, d.h die Ausbrecher haben dann eben keine Root-Rechte auf dem Host.

Genauso gibt es für #Kubernetes die sog. User Namespaces, das gilt als eines der besten Mittel um Ausbrecher an weiteren Schäden zu hindern.

Sollten man umsetzen, wenn man Container einsetzt!

https://www.golem.de/news/docker-kubernetes-und-co-hacker-koennen-aus-containern-auf-hostsysteme-zugreifen-2402-181875.html

#LeakyVessels

"Leaky Vessels: Docker and runc container breakout vulnerabilities"

https://snyk.io/blog/leaky-vessels-docker-runc-container-breakout-vulnerabilities/

#security #containers #runc #docker

Are you using #Docker / #containerd / #runc? Congratulations, you won a full container breakout vulnerability via leaked file descriptors that can "lead to full control of the host system".

https://github.com/opencontainers/runc/security/advisories/GHSA-xr7r-f8xq-vfvv

#CVE-2024-21626

#containers: Multiple security vulnerabilities (CVE-2024-21626 et al) have been disclosed in #runC that could be exploited by attackers to escape the bounds of the container and stage follow-on attacks:

#CloudSecurity

https://thehackernews.com/2024/02/runc-flaws-enable-container-escapes.html

🚨 high-severity container breakout vulnerability discovered in #runc, involving leaked file descriptors.
CVE-2024-21626.
Patch ASAP:
https://github.com/opencontainers/runc/releases/tag/v1.1.12

#cve #vulnerability #cybersecurity #containers #containerruntime #opensource
@containers

#runc has a security release to fix CVE-2024-21626. It's a container escape using file descriptors, and scored 8.6. So if you run images that you don't fully trust, you'll want to upgrade soon. runc is the underlying runtime of a lot of popular container environments. The fixed release is 1.1.12.

https://github.com/opencontainers/runc/security/advisories/GHSA-xr7r-f8xq-vfvv

RT @[email protected]

This was a fun trip down memory lane on how the @[email protected] engine led to @[email protected], #runc, and the @[email protected]

Thanks @[email protected] for sending me down this trip! https://twitter.com/thaJeztah/status/1565795698783698944

🐦🔗: https://twitter.com/thaJeztah/status/1566054375810007040

Funky! using XCP-ng (a #XenServer fork) to run containers using the #Docker or #Podman toolchain. It uses #runx to replace #runc from the default container platform make-up that backs the containers with #xen domains (VMs) instead of kernel namespaces and cgroups. I still need to check whether containers can be administered remotely via a Docker or Podman cli on a different computer, but this looks sweet as! https://xcp-ng.org/forum/topic/5085/runx-tech-preview