新たなruncの脆弱性によりコンテナエスケープが可能に: CVE-2025-31133、CVE-2025-52565、CVE-2025-52881

脆弱性の技術的詳細

脆弱なバージョンを検出する方法

Sysdig Secureのお客様は、Threat Intelligenceページ（Home > Threat Intelligence）にアクセスして、影響を受けるバージョンがインベントリに含まれていないか確認できます。この機能により、必要な修正の範囲を迅速に把握し、着手できます。

‍

悪用を検出する方法 

Sysdig SecureおよびFalcoのユーザーは、不審なシンボリックリンクの挙動を監視することで、これらの脆弱性の悪用を検出できます。以下に示すFalcoルールは実験的なもので、CVE-2025-31133およびCVE-2025-52565の活動を検出できます。Sysdig Secureのお客様はこのルールをカスタムルールファイルに追加できます。公式ルールは現在テスト中で、近日中にリリース予定です。

- rule: Create Symlink Over Procfs Files
desc: このルールは、機密ファイル上にシンボリックリンクが作成されることを検出します。runcがCVE-2025-31133およびCVE-2025-52565に対して脆弱な場合、これがコンテナエスケープにつながる可能性があります。攻撃者はこれらの脆弱性を悪用して、コンテナ境界から脱出したり、サービス拒否（DoS）攻撃を引き起こしたりする可能性があります。
condition: >
   create_symlink and
   ((evt.arg.target in ("/proc/sysrq-trigger", "/proc/sys/kernel/core_pattern") and evt.arg.linkpath contains "/dev/null") or
   (evt.arg.target in ("/proc/sysrq-trigger", "/proc/sys/kernel/core_pattern") and evt.arg.linkpath startswith "/dev/pts/"))
output: >
   CVE-2025-31133およびCVE-2025-52565に基づき、runcにおいてコンテナエスケープにつながり得るファイル上にシンボリックリンクが作成されました。プロセス %proc.name（親 %proc.pname）、ユーザー %user.name、%container.name 上で実行（evt.arg.target=%evt.arg.target evt.arg.linkpath=%evt.arg.linkpath proc.name=%proc.name proc.cmdline=%proc.cmdline proc.exepath=%proc.exepath proc.pname=%proc.pname proc.pcmdline=%proc.pcmdline proc.pexepath=%proc.pexepath gparent=%proc.aname[2] user.name=%user.name image=%container.image.repository:%container.image.tag proc.pid=%proc.pid proc.cwd=%proc.cwd proc.ppid=%proc.ppid proc.sid=%proc.sid user.uid=%user.uid user.loginname=%user.loginname group.name=%group.name container.id=%container.id container.name=%container.name)
priority: CRITICAL
tags: [host]

影響を受けるruncのバージョンはどれですか？

推奨される緩和策