🇰🇷 한글 설명
Moby(Docker Engine)의 데이터 디렉토리(/var/lib/docker) 내 하위 디렉토리 권한 설정이 미흡하여 발생하는 취약점입니다. 이를 통해 권한이 없는 리눅스 사용자가 디렉토리 내용을 탐색하거나, 특정 조건에서 컨테이너 내 실행 파일을 발견하고 실행할 수 있습니다.
💡 쉬운 설명
도커가 데이터를 저장하는 폴더의 보안 설정이 허술하여, 일반 사용자가 몰래 컨테이너 내부의 파일을 보거나 실행할 수 있는 문제입니다. 특히 사용자 ID가 겹칠 경우 파일 내용을 수정할 수도 있어 위험합니다.
🇺🇸 원문 (English)
Moby is an open-source project created by Docker to enable software containerization. A bug was found in Moby (Docker Engine) where the data directory (typically `/var/lib/docker`) contained subdirectories with insufficiently restricted permissions, allowing otherwise unprivileged Linux users to traverse directory contents and execute programs. When containers included executable programs with extended permission bits (such as `setuid`), unprivileged Linux users could discover and execute those programs. When the UID of an unprivileged Linux user on the host collided with the file owner or group inside a container, the unprivileged Linux user on the host could discover, read, and modify those files. This bug has been fixed in Moby (Docker Engine) 20.10.9. Users should update to this version as soon as possible. Running containers should be stopped and restarted for the permissions to be fixed. For users unable to upgrade limit access to the host to trusted users. Limit access to host volumes to trusted containers.
📍 영향받는 시스템
Moby (Docker Engine) 20.10.9 미만 버전
⚔️ 공격 벡터
호스트 시스템의 비특권 사용자가 권한이 제한되지 않은 도커 데이터 디렉토리를 통해 컨테이너 내부 파일에 접근 및 실행
🛡️ 대응 방법
Moby(Docker Engine)를 20.10.9 버전 이상으로 업데이트하고, 실행 중인 컨테이너를 재시작하십시오.
🔧 검증 코드
출력된 버전이 20.10.9 이상인지 확인하여 취약점 해결 여부를 판단합니다.
docker version --format '{{.Server.Version}}' | grep -E '^20\.(10\.[9-9]|[1-9][0-9]\..*)$|^21\.'