Вихід із пісочниці (sandbox escape) — експлуатація вразливості, яка дає змогу коду вирватися з ізольованого середовища (пісочниці браузера, віртуальної машини чи контейнера) й діяти в основній системі з більшими привілеями.
Як працює вихід із пісочниці
Пісочниця обмежує можливості коду: процес рендерингу браузера не може читати файли, гостьова віртуальна машина не може торкатися хоста, застосунок в iOS чи Android не має доступу до даних інших застосунків. Вихід із пісочниці експлуатує ваду в самій межі ізоляції, наприклад:
- помилку в привілейованому процесі-брокері браузера, інтерфейсах IPC або ядрі операційної системи, досяжному з пісочниці;
- вразливість в емульованому обладнанні чи гіпервізорі (VM escape);
- помилку середовища виконання контейнерів або ядра, яка дає процесу в контейнері змогу керувати хостом (container escape).
Тому сучасні атаки на браузери використовують ланцюжки експлойтів: одна помилка для виконання коду в процесі рендерингу, друга — для виходу з пісочниці, а часто й третя — для підвищення привілеїв у ядрі.
Чому вихід із пісочниці важливий
Пісочниці — один із найважливіших рівнів захисту, тому вихід із них надзвичайно цінний. Повні ланцюжки проти Chrome, Safari чи iOS трапляються в атаках нульового дня комерційних постачальників шпигунського ПЗ і належать до найдорожчих призів на хакерських змаганнях на кшталт Pwn2Own. Серед відомих прикладів — VENOM (2015), вада у віртуальному контролері дискет QEMU, що могла дати змогу вийти з багатьох віртуальних машин, і вразливість runc 2019 року, через яку шкідливі контейнери могли перезаписати бінарний файл runc на хості й отримати права root. У хмарних середовищах вихід із VM і контейнерів загрожує ізоляції між клієнтами.
Як захиститися від виходу з пісочниці
- Швидко оновлювати браузери, гіпервізори, середовища виконання контейнерів і ядра — такі помилки часто експлуатують як вразливості нульового дня.
- Будувати багаторівневий захист: запускати контейнери не від root, використовувати профілі seccomp і AppArmor, розносити чутливі навантаження на різні хости.
- Вмикати функції на кшталт ізоляції сайтів і режиму блокування (Lockdown Mode) для користувачів із високим ризиком.
- Відстежувати на хостах неочікувані процеси, породжені ізольованими застосунками.
