🇰🇷 한글 설명
Docker 1.3.1 이전 버전과 docker-py 0.5.3 이전 버전에서 레지스트리로의 HTTPS 연결 실패 시 HTTP로 자동 다운그레이드되는 취약점입니다. 공격자가 네트워크 위치를 악용하여 HTTPS 트래픽을 차단하면 인증 정보와 컨테이너 이미지 데이터를 탈취할 수 있습니다.
💡 쉬운 설명
Docker가 보안 연결(HTTPS) 실패 시 보안되지 않은 연결(HTTP)로 자동 전환되는 문제입니다. 악의적인 행위자가 이를 악용하면 비밀번호나 민감한 이미지 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
Docker before 1.3.1 and docker-py before 0.5.3 fall back to HTTP when the HTTPS connection to the registry fails, which allows man-in-the-middle attackers to conduct downgrade attacks and obtain authentication and image data by leveraging a network position between the client and the registry to block HTTPS traffic.
📍 영향받는 시스템
Docker < 1.3.1, docker-py < 0.5.3
⚔️ 공격 벡터
네트워크 위치를 제어하는 공격자가 HTTPS 트래픽을 차단하여 클라이언트를 HTTP로 강제 다운그레이드
🛡️ 대응 방법
Docker를 1.3.1 이상, docker-py를 0.5.3 이상으로 업그레이드
🔧 검증 코드
Docker 버전이 1.3.1 이상이고 docker-py가 0.5.3 이상이면 패치된 상태입니다.
docker --version && python -c "import docker; print(docker.__version__)" 2>/dev/null || pip list 2>/dev/null | grep -i docker-py