🇰🇷 한글 설명
containerd의 CRI 구현체에서 동일한 이미지를 사용하는 컨테이너들이 서로 다른 환경 변수를 가질 때, 환경 변수가 잘못 전달되어 다른 컨테이너의 설정값이 유출될 수 있는 취약점입니다. 특히 보안 컨텍스트가 다른 컨테이너들이 동일한 이미지를 공유할 경우 민감한 정보가 의도치 않게 노출될 위험이 있습니다.
💡 쉬운 설명
같은 설계도(이미지)로 여러 개의 컨테이너를 빠르게 만들 때, 옆집 컨테이너의 비밀번호나 설정값이 우리 집 컨테이너로 잘못 전달될 수 있는 문제입니다. 이로 인해 중요한 정보가 다른 컨테이너로 새어나갈 수 있습니다.
🇺🇸 원문 (English)
In containerd (an industry-standard container runtime) before versions 1.3.10 and 1.4.4, containers launched through containerd's CRI implementation (through Kubernetes, crictl, or any other pod/container client that uses the containerd CRI service) that share the same image may receive incorrect environment variables, including values that are defined for other containers. If the affected containers have different security contexts, this may allow sensitive information to be unintentionally shared. If you are not using containerd's CRI implementation (through one of the mechanisms described above), you are not vulnerable to this issue. If you are not launching multiple containers or Kubernetes pods from the same image which have different environment variables, you are not vulnerable to this issue. If you are not launching multiple containers or Kubernetes pods from the same image in rapid succession, you have reduced likelihood of being vulnerable to this issue This vulnerability has been fixed in containerd 1.3.10 and containerd 1.4.4. Users should update to these versions.
📍 영향받는 시스템
containerd 1.3.10 및 1.4.4 미만 버전 (CRI 사용 시)
⚔️ 공격 벡터
동일한 이미지를 사용하는 여러 컨테이너를 CRI를 통해 빠르게 실행하여 환경 변수 혼선 유도
🛡️ 대응 방법
containerd를 1.3.10 또는 1.4.4 이상의 버전으로 업데이트
🔧 검증 코드
출력된 버전이 1.3.10 미만이거나 1.4.4 미만인 경우 취약할 가능성이 있습니다.
containerd --version 2>/dev/null | grep -E 'containerd version (1\.[0-3]\.[0-9]|1\.4\.[4-9])'