🇰🇷 한글 설명
compose-go 라이브러리 (v2.10-v2.4.0)에서 인증된 사용자가 악의적인 YAML 페이로드를 전송하여 YAML 파싱 중 과도한 메모리와 CPU를 소비하도록 유발할 수 있는 자원 소진(ReDoS) 취약점입니다. Docker Compose v2.27.0부터 v2.29.7까지 영향을 받습니다.
💡 쉬운 설명
Docker Compose 설정 파일에 특별히 조작된 악의적인 내용을 넣으면 서버의 메모리와 CPU를 과도하게 사용하게 만들 수 있습니다. 관리자 권한을 가진 사람이 실행해야만 공격이 가능합니다.
🇺🇸 원문 (English)
The compose-go library component in versions v2.10-v2.4.0 allows an authorized user who sends malicious YAML payloads to cause the compose-go to consume excessive amount of Memory and CPU cycles while parsing YAML, such as used by Docker Compose from versions v2.27.0 to v2.29.7 included
📍 영향받는 시스템
Docker Compose v2.27.0 ~ v2.29.7, compose-go library v2.4.0 ~ v2.10
⚔️ 공격 벡터
인증된 사용자가 YAML 형식의 malicious payload를 compose 설정 파일에 삽입하여 파싱 시 서비스 거부(DoS) 유발
🛡️ 대응 방법
Docker Compose를 v2.29.8 이상으로 업그레이드하거나 compose-go를 최신 버전으로 업데이트
🔧 검증 코드
출력 버전이 v2.29.8 이상이면 안전, v2.27.0~v2.29.7 범위면 취약점 존재
docker compose version 2>&1 | grep -oP 'v\K[0-9]+\.[0-9]+\.[0-9]+'