🇰🇷 한글 설명
Docker Engine의 Libcontainer 1.6.0에서 발견된 취약점으로, 로컬 사용자가 symlink 공격을 통해 컨테이너의 마운트 네임스페이스를 탈출하고 호스트 시스템의 임의 파일에 쓸 수 있습니다. 컨테이너 재시작 시 이미지 내 심볼릭 링크를 악용하여 호스트의 중요 파일을 변조할 수 있습니다.
💡 쉬운 설명
Docker 컨테이너를 사용할 때 컨테이너 안의 악의적인 링크를 통해 외부 호스트의 파일을 수정할 수 있는 보안 결함입니다. 컨테이너의 격리가 우회되어 호스트 시스템이 손상될 수 있습니다.
🇺🇸 원문 (English)
Libcontainer 1.6.0, as used in Docker Engine, allows local users to escape containerization ("mount namespace breakout") and write to arbitrary file on the host system via a symlink attack in an image when respawning a container.
📍 영향받는 시스템
Docker Engine (Libcontainer 1.6.0 및 이전 버전)
⚔️ 공격 벡터
악의적인 Docker 이미지에 symlink를 포함시켜 컨테이너 재시작 시 호스트의 임의 파일에 접근하는 mount namespace breakout 공격
🛡️ 대응 방법
Docker Engine을 1.6.1 이상으로 업데이트하거나 신뢰할 수 있는 이미지만 실행하여 완화
🔧 검증 코드
버전이 1.6.0 이하이면 취약함. 1.6.1 이상이거나 최신 버전으로 업데이트되어 있으면 안전
docker --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' || dpkg -l 2>/dev/null | grep -E 'docker|libcontainer' | awk '{print $2, $3}'