🇰🇷 한글 설명
Docker Engine 1.12.2에서 잘못 구성된 capability policies로 인해 ambient capabilities가 활성화되었습니다. 이로 인해 악의적인 컨테이너 이미지가 사용자 권한을 우회하여 컨테이너 파일시스템이나 마운트된 볼륨의 파일에 접근할 수 있습니다.
💡 쉬운 설명
Docker 컨테이너가 본래 가져야 할 제한된 권한 설정이 제대로 작동하지 않아, 악의적인 이미지가 원래 접근할 수 없는 파일들에 접근할 수 있게 되었습니다. 이는 공유 서버 환경에서 다른 사용자의 데이터를 유출할 수 있는 심각한 보안 문제입니다.
🇺🇸 원문 (English)
Docker Engine 1.12.2 enabled ambient capabilities with misconfigured capability policies. This allowed malicious images to bypass user permissions to access files within the container filesystem or mounted volumes.
📍 영향받는 시스템
Docker Engine 1.12.0 ~ 1.12.2 (1.12.3 이후에서 패치됨)
⚔️ 공격 벡터
악의적인 컨테이너 이미지를 실행하면, 컨테이너 내부에서 ambient capabilities를 이용하여 제한된 파일 및 호스트 마운트 볼륨에 무단 접근
🛡️ 대응 방법
Docker Engine을 1.12.3 이상으로 업그레이드하거나, security options를 통해 capabilities를 명시적으로 제한 설정
🔧 검증 코드
Docker 버전이 1.12.3 이상인지 확인하고, getcap 명령어로 불필요한 ambient capabilities가 설정되어 있지 않은지 확인합니다.
docker --version | grep -oP '\d+\.\d+\.\d+' && docker run --rm alpine getcap /usr/bin/ping 2>/dev/null