K8S 生态周报| runc 修复多个漏洞，影响 Docker、containerd 和 Kubernetes

“

「K8S 生态周报」内容主要包含我所接触到的 K8S 生态相关的每周值得推荐的一些信息。欢迎订阅知乎专栏「k8s生态」^[1]。

”

大家好，我是张晋涛。

runc v1.1.4 发布

runc 是一个底层容器运行时，我在之前已经写过很多篇文章介绍它了，感兴趣的小伙伴可以翻翻历史文章。上周它发布了 v1.1.4 版本， 这是 v1.1 系列的第 4 个 patch 版本。当前该项目正在积极的进行 v1.2 版本的开发。

大多数人都不会直接操作 runc 来启动容器，但是 runc 却是 Docker, containerd 等主流容器工具的底层依赖。本次 runc 新版本中修复的问题， 同样的也都会出现在 Docker 和 containerd 环境中。

具体包含如下内容：

• libct: fix mounting via wrong proc fd by kolyshkin · Pull Request #3510 · opencontainers/runc

这个 bug 确实存在挺长时间了，但由于触发的条件比较严格，所以一直未发现。究其原因是 mountFd 未被清理，并且它可能被用于后续的挂载操作所使用。

这里介绍下它的触发条件：

• userns 和 mountns 都被使用；

• cgroupns 未被使用；

• 使用 cgroup v1 ；