🇰🇷 한글 설명
containerd 1.6.1, 1.5.10, 1.4.12 미만 버전에서 발생하는 취약점으로, 특수하게 제작된 이미지 설정을 통해 Linux 환경의 CRI 구현 시 호스트의 임의 파일 및 디렉토리에 대한 읽기 전용 접근이 가능합니다. 이는 Kubernetes Pod Security Policy와 같은 정책 기반 보안 강제를 우회하여 민감한 정보를 노출시킬 수 있습니다.
💡 쉬운 설명
컨테이너를 만들 때 조작된 설정 파일을 사용하면, 컨테이너 내부에서 원래는 볼 수 없는 컴퓨터 본체의 중요한 파일들을 몰래 읽을 수 있는 문제입니다. 보안 규칙을 무시하고 시스템 내부 정보에 접근할 수 있어 위험합니다.
🇺🇸 원문 (English)
containerd is a container runtime available as a daemon for Linux and Windows. A bug was found in containerd prior to versions 1.6.1, 1.5.10, and 1.14.12 where containers launched through containerd’s CRI implementation on Linux with a specially-crafted image configuration could gain access to read-only copies of arbitrary files and directories on the host. This may bypass any policy-based enforcement on container setup (including a Kubernetes Pod Security Policy) and expose potentially sensitive information. Kubernetes and crictl can both be configured to use containerd’s CRI implementation. This bug has been fixed in containerd 1.6.1, 1.5.10, and 1.4.12. Users should update to these versions to resolve the issue.
📍 영향받는 시스템
containerd versions prior to 1.6.1, 1.5.10, and 1.4.12
⚔️ 공격 벡터
특수하게 조작된 컨테이너 이미지 설정을 사용하여 CRI를 통해 컨테이너를 실행함으로써 호스트 파일 시스템에 접근
🛡️ 대응 방법
containerd를 1.6.1, 1.5.10 또는 1.4.12 이상의 버전으로 업데이트
🔧 검증 코드
출력된 containerd 버전을 확인하여 취약점이 해결된 버전(1.6.1, 1.5.10, 1.4.12 이상)인지 대조합니다.
containerd --version 2>/dev/null || ctr version 2>/dev/null | grep -E 'containerd version'