🇰🇷 한글 설명
Kata Containers 1.11.5 미만 버전에서 발생하는 부적절한 파일 권한 취약점입니다. Kubernetes의 hostPath 볼륨을 읽기 전용으로 마운트하더라도 게스트 내부에서는 여전히 쓰기가 가능한 상태로 유지됩니다. 이로 인해 컨테이너 탈출 상황 발생 시 악의적인 게스트가 읽기 전용으로 예상되는 파일이나 디렉토리를 수정하거나 삭제할 수 있습니다.
💡 쉬운 설명
컨테이너 안에서 '읽기 전용'으로 설정한 파일이 실제로는 수정이 가능한 상태로 방치되는 보안 결함입니다. 해커가 컨테이너를 장악했을 때, 원래 건드리면 안 되는 중요한 시스템 파일을 마음대로 고칠 수 있어 위험합니다.
🇺🇸 원문 (English)
An improper file permissions vulnerability affects Kata Containers prior to 1.11.5. When using a Kubernetes hostPath volume and mounting either a file or directory into a container as readonly, the file/directory is mounted as readOnly inside the container, but is still writable inside the guest. For a container breakout situation, a malicious guest can potentially modify or delete files/directories expected to be read-only.
📍 영향받는 시스템
Kata Containers 1.11.5 미만 버전
⚔️ 공격 벡터
Kubernetes hostPath 볼륨을 읽기 전용으로 마운트한 상태에서 게스트 컨테이너를 통한 파일 수정 및 삭제
🛡️ 대응 방법
Kata Containers를 1.11.5 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Kata Containers 버전을 확인하여 1.11.5 미만인지 확인합니다.
kata-runtime --version 2>/dev/null || echo 'Check installed kata-runtime version'