カーネルを攻略する — Kubernetesにおけるカーネルエクスプロイトの冒険

ファイルシステムからの読み取り、デバイスファイルのオープン、システムコールの発行、ネットワークインターフェース経由でのパケット送信など、私たちはさまざまな方法でオペレーティングシステムのカーネルとやり取りしています。カーネルがユーザー空間の代わりにこうした処理を行うたびに、権限を確認し、その操作を実行する許可がユーザーにあるかを検証します。カーネルの権限昇格とは、カーネルコードの脆弱性を悪用して、追加の権限を取得することです。この講演では、カーネル権限昇格エクスプロイトとは何かを解説し、実際の事例を紹介したうえで、コンテナとKubernetesを活用して、こうしたエクスプロイトの影響を軽減するさまざまな方法をご紹介します。