🇰🇷 한글 설명
containerd 1.4.8 및 1.5.4 미만 버전에서 특수하게 제작된 컨테이너 이미지를 풀(pull)하고 압축을 해제할 때 호스트 파일 시스템의 기존 파일 권한이 변경되는 취약점이 발견되었습니다. 이로 인해 파일 접근 권한이 확대되거나 setuid, setgid와 같은 특수 권한이 설정될 수 있습니다. 다만, 이 취약점 자체만으로는 파일의 읽기, 수정, 실행을 직접 수행할 수 없으며 추가적인 프로세스의 협력이 필요합니다.
💡 쉬운 설명
나쁜 의도로 만들어진 컨테이너 이미지를 내려받으면 컴퓨터에 이미 있던 파일들의 보안 설정(권한)이 멋대로 바뀔 수 있는 문제입니다. 이로 인해 원래 접근할 수 없던 파일이 노출되거나 보안이 약해질 위험이 있습니다.
🇺🇸 원문 (English)
containerd is a container runtime. A bug was found in containerd versions prior to 1.4.8 and 1.5.4 where pulling and extracting a specially-crafted container image can result in Unix file permission changes for existing files in the host’s filesystem. Changes to file permissions can deny access to the expected owner of the file, widen access to others, or set extended bits like setuid, setgid, and sticky. This bug does not directly allow files to be read, modified, or executed without an additional cooperating process. This bug has been fixed in containerd 1.5.4 and 1.4.8. As a workaround, ensure that users only pull images from trusted sources. Linux security modules (LSMs) like SELinux and AppArmor can limit the files potentially affected by this bug through policies and profiles that prevent containerd from interacting with specific files.
📍 영향받는 시스템
containerd versions prior to 1.4.8 and 1.5.4
⚔️ 공격 벡터
특수하게 제작된 컨테이너 이미지를 pull 및 압축 해제하여 호스트 파일 권한 변경 유도
🛡️ 대응 방법
containerd를 1.4.8 또는 1.5.4 이상의 버전으로 업데이트하고 신뢰할 수 있는 이미지 소스만 사용
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 업데이트가 필요한 상태입니다.
containerd --version | grep -E '1\.(4\.[0-9]|5\.[0-4])'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L
💻 영향받는 소프트웨어
NVIDIA vGPU Guest Driver for Linux