🇰🇷 한글 설명
Docker Engine 1.8.3 미만 및 CS Docker Engine 1.6.2-CS7 미만 버전에서 발생합니다. 이미지 pull 과정 중 JSON 매니페스트 객체를 검증하고 추출하는 과정이 미흡하여, 공격자가 JSON 객체에 새로운 속성을 주입함으로써 digest 기반의 검증을 우회할 수 있습니다.
💡 쉬운 설명
도커가 이미지를 내려받을 때 데이터의 진위 여부를 확인하는 과정에 허점이 있습니다. 해커가 가짜 정보를 섞어 넣으면 검증 시스템을 속이고 악성 이미지를 설치할 수 있습니다.
🇺🇸 원문 (English)
Docker Engine before 1.8.3 and CS Docker Engine before 1.6.2-CS7 does not properly validate and extract the manifest object from its JSON representation during a pull, which allows attackers to inject new attributes in a JSON object and bypass pull-by-digest validation.
📍 영향받는 시스템
Docker Engine < 1.8.3, CS Docker Engine < 1.6.2-CS7
⚔️ 공격 벡터
JSON 매니페스트 객체에 임의의 속성을 주입하여 digest 검증을 우회하는 방식
🛡️ 대응 방법
Docker Engine을 1.8.3 이상 또는 CS Docker Engine을 1.6.2-CS7 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.8.3 미만인지 확인하십시오.
docker version --format '{{.Server.Version}}' 2>/dev/null