🇰🇷 한글 설명
Moby(Docker Engine)에서 보조 그룹(supplementary groups)이 적절하게 설정되지 않는 버그가 발견되었습니다. 공격자가 컨테이너에 직접 접근할 수 있는 경우, 보조 그룹 권한을 조작하여 기본 그룹 제한을 우회하고 민감한 정보에 접근하거나 코드를 실행할 수 있습니다.
💡 쉬운 설명
도커 컨테이너 내부에서 사용자의 권한 설정이 제대로 이루어지지 않는 보안 결함입니다. 이를 통해 공격자가 원래 허용되지 않은 파일이나 기능에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Moby is an open-source project created by Docker to enable software containerization. A bug was found in Moby (Docker Engine) where supplementary groups are not set up properly. If an attacker has direct access to a container and manipulates their supplementary group access, they may be able to use supplementary group access to bypass primary group restrictions in some cases, potentially gaining access to sensitive information or gaining the ability to execute code in that container. This bug is fixed in Moby (Docker Engine) 20.10.18. Running containers should be stopped and restarted for the permissions to be fixed. For users unable to upgrade, this problem can be worked around by not using the `"USER $USERNAME"` Dockerfile instruction. Instead by calling `ENTRYPOINT ["su", "-", "user"]` the supplementary groups will be set up properly.
📍 영향받는 시스템
Moby (Docker Engine) 20.10.18 미만 버전
⚔️ 공격 벡터
컨테이너에 직접 접근 가능한 공격자가 보조 그룹 설정을 조작하여 권한 우회 시도
🛡️ 대응 방법
Moby 20.10.18 이상으로 업그레이드 후 컨테이너 재시작, 또는 Dockerfile에서 'USER' 대신 'ENTRYPOINT ["su", "-", "user"]' 사용
🔧 검증 코드
출력된 버전 번호가 20.10.18보다 낮은지 확인합니다.
docker version --format '{{.Server.Version}}'