🇰🇷 한글 설명
Docker-CE(Moby)의 이미지 레이어 콘텐츠 검증 부재로 인한 취약점으로, 악의적으로 조작된 이미지 레이어를 통해 gzip bombing 공격이 가능합니다. 원격 공격자가 특수하게 제작된 이미지 페이로드를 전송하여 서비스 거부(DoS)를 유발할 수 있습니다.
💡 쉬운 설명
Docker가 다운로드한 이미지 파일의 내용을 제대로 검증하지 않아, 공격자가 매우 압축된 악성 파일을 보낼 수 있습니다. 이 파일이 풀려지면서 엄청난 크기가 되어 시스템 메모리와 디스크를 소진시킵니다.
🇺🇸 원문 (English)
Lack of content verification in Docker-CE (Also known as Moby) versions 1.12.6-0, 1.10.3, 17.03.0, 17.03.1, 17.03.2, 17.06.0, 17.06.1, 17.06.2, 17.09.0, and earlier allows a remote attacker to cause a Denial of Service via a crafted image layer payload, aka gzip bombing.
📍 영향받는 시스템
Docker-CE/Moby 1.10.3, 1.12.6-0, 17.03.0-2, 17.06.0-2, 17.09.0 및 그 이하 버전
⚔️ 공격 벡터
악의적으로 제작된 gzip 압축 이미지 레이어 페이로드를 Docker 레지스트리를 통해 배포
🛡️ 대응 방법
Docker-CE를 1.13.1 이상, 17.03.3 이상, 17.06.3 이상, 17.09.1 이상으로 업그레이드
🔧 검증 코드
출력된 Docker 버전이 1.13.1 미만 또는 17.03.3/17.06.3/17.09.1 미만이면 취약 상태
docker --version | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' | awk '{print $1}'