共计 1172 个字符，预计需要花费 3 分钟才能阅读完成。
尊敬的腾讯云客户，您好：
近日，腾讯云安全中心监测发现轻量级容器运行环境 runc 被爆存在容器逃逸漏洞，攻击者可以在利用该漏洞覆盖 Host 上的 runc 文件，从而在 Host 上以 root 权限执行代码。
为避免您的业务受影响，腾讯云安全中心建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。
【漏洞详情】
runc 是一个轻量级通用容器运行环境，它是一个命令行工具，可以根据开放容器方案（Open Container Initiative）生成和运行容器，该漏洞若被利用，会允许恶意容器 (以最少的用户交互) 覆盖 Host 上的 runc 文件，从而在 Host 上以 root 权限执行代码，进而攻击其它容器或 Host。目前 CVSSv3 官方评分达 7.2 分。
【风险等级】
高风险
【漏洞风险】
容器逃逸攻击风险，存在漏洞的 runc 被利用后可以获取 Host 的 root 权限，并利用该权限攻击其他容器或机器。
【影响版本】
除 runc 之外，Apache Mesos、LXC 也在受影响之列。
【修复建议】
若您使用的是腾讯云容器服务 TKE，您可以通过以下方法进行漏洞修复
1. TKE 已经修复增量版本，新创建的集群和新加入的节点不受影响
2. 若 Docker 版本为 17.12.1 的容器节点，可用 root 权限执行以下命令升级 runc 版本。此方法不影响该节点正在运行的业务。
wget http://static.ccs.tencentyun….
chmod +x ./docker17.12-runc-e25b2183f mv /usr/bin/docker-runc /usr/bin/docker-runc-$(date -Iseconds) mv docker17.12-runc-e25b2183f /usr/bin/docker-runc
验证是否升级成功：执行 docker-runc -v，应该看到如下版本信息：
runc version 1.0.0-rc4+dev commit: e25b2183f48e942cb41582898acbf7e24b5d2f31 spec: 1.0.0
3. 目前 TKE 已修复增量 Docker 版本，您存量的节点可以通过移出集群再加入集群触发节点重新初始化进行修复。此方法不限制 Docker 版本但会造成节点重启。
【漏洞参考】
1）漏洞详情：https://www.openwall.com/list…
2）修复参考：https://github.com/opencontai…
3）LXC 修复：https://github.com/lxc/lxc/co…
