Azure Functions被发现存在容器逃脱漏洞

资安公司Intezer研究人员发现微软的无服务器运算服务Azure Functions，存在一个特权提升漏洞，且程式码可从Azure Functions Docker容器逃脱（Escape）至Docker主机，但微软提到，这个漏洞不影响用户安全。

Azure Functions让用户不需要配置和管理基础设施，就能简单地开始执行程式码，可由HTTP请求触发，并且一次最多只能执行数分钟处理该事件，用户的程式码会在Azure托管的容器中执行，无法逃脱受限的环境，但是这个Azure Functions的新漏洞，却可让程式码逃脱至Docker主机。

当程式码逃脱到了Docker，取得根存取权限，就足以破坏Docker主机，并获得更多的控制权，除了逃脱可能受到监控的容器，还能转移到安全性经常被忽略的Docker主机。微软在收到漏洞报告后，认为这个漏洞并不影响Azure Functions用户安全，因为即便可以逃脱，但Docker主机本身仍受Hyper-V边界保护，微软进一步限制了/etc和/sys的存取。

即便这个漏洞没有真正造成安全问题，但研究人员提到，这样的案例一再发生，代表部分漏洞其实不受用户控制，攻击者可以攻击第三方软件，找到入侵的方法，因此用户不仅需要减少可能攻击面，还应采用零信任安全架构，当攻击者在生产环境中执行未经授权的程式码，用户应该采取保护措施，具备侦测并且终止恶意程式的能力。