🇰🇷 한글 설명
boot2docker 1.2 및 이전 버전에서 TLS 인증 없이 TCP 연결을 허용하는 Docker 데몬을 악용하여 CSRF 공격을 수행할 수 있습니다. 공격자는 이를 통해 사용자의 의도와 상관없이 악의적인 요청을 Docker 데몬에 전달할 수 있습니다.
💡 쉬운 설명
보안 인증이 없는 상태로 열려 있는 Docker 통로를 이용해, 해커가 사용자의 컴퓨터에 몰래 명령을 내리는 공격입니다. 사용자가 웹사이트를 방문하는 것만으로도 Docker 설정이 변경되거나 조작될 위험이 있습니다.
🇺🇸 원문 (English)
boot2docker 1.2 and earlier allows attackers to conduct cross-site request forgery (CSRF) attacks by leveraging Docker daemons enabling TCP connections without TLS authentication.
📍 영향받는 시스템
boot2docker 1.2 및 그 이전 버전
⚔️ 공격 벡터
TLS 인증이 없는 TCP 연결을 통한 CSRF(사이트 간 요청 위조) 공격
🛡️ 대응 방법
boot2docker를 최신 버전으로 업데이트하거나, Docker 데몬 설정에서 TLS 인증을 강제 적용해야 합니다.
🔧 검증 코드
명령어 결과에 1.0, 1.1, 1.2와 같은 버전이 출력되면 취약한 버전이 설치된 것입니다.
boot2docker --version 2>/dev/null | grep -E '1\.[0-2]\\.'