🇰🇷 한글 설명
Docker Moby 17.03.2-ce 이하 버전의 DefaultLinuxSpec 함수가 /proc/scsi 경로를 적절히 차단하지 않아, 특정 구형 Linux 커널에서 컨테이너 내부에서 /proc/scsi/scsi에 "scsi remove-single-device" 명령을 작성하여 호스트의 데이터 손실을 유발할 수 있는 취약점입니다. 이는 SCSI MICDROP이라는 공격으로 알려져 있습니다.
💡 쉬운 설명
Docker 컨테이너가 호스트 시스템의 저장장치 제어 파일에 접근하여 데이터를 삭제할 수 있습니다. 이는 특정 구형 Linux 커널에서만 문제가 되지만, 영향을 받으면 데이터 손실이 발생합니다.
🇺🇸 원문 (English)
The DefaultLinuxSpec function in oci/defaults.go in Docker Moby through 17.03.2-ce does not block /proc/scsi pathnames, which allows attackers to trigger data loss (when certain older Linux kernels are used) by leveraging Docker container access to write a "scsi remove-single-device" line to /proc/scsi/scsi, aka SCSI MICDROP.
📍 영향받는 시스템
Docker Moby 버전 17.03.2-ce 이하, 구형 Linux 커널(2.6.36-2.6.39 등)을 사용하는 시스템
⚔️ 공격 벡터
권한이 있는 컨테이너 내부에서 /proc/scsi/scsi 파일에 접근하여 SCSI 장치 제거 명령 실행
🛡️ 대응 방법
Docker를 17.03.2-ce 이상의 최신 버전으로 업그레이드하거나 /proc/scsi 경로에 대한 컨테이너 접근을 제한
🔧 검증 코드
Docker 버전이 17.03.2 이하이면 '취약함(Vulnerable)', 그 이상이면 '패치됨(Patched)'으로 표시됩니다.
docker version --format='{{.Server.Version}}' | grep -E '^(17\.(0[0-2]|03\.[0-2])|1[0-6]\.)' && echo 'Vulnerable' || echo 'Patched'