🇰🇷 한글 설명
mailcow의 특정 버전에서 동일 서브넷 내의 공격자가 127.0.0.1로 바인딩된 Docker 컨테이너의 노출된 포트에 연결할 수 있는 보안 취약점이 발견되었습니다. 이 문제는 Docker 네트워크 구조로 인해 발생하는 것으로, 특정 포트들에 대한 접근 제어가 미흡하여 발생합니다. 최신 버전에서는 iptables/nftables 규칙을 추가하여 이를 해결했습니다.
💡 쉬운 설명
같은 네트워크를 사용하는 해커가 원래 외부에서 접속할 수 없도록 잠가둔 서비스의 뒷문으로 몰래 들어올 수 있는 문제입니다. 이를 막기 위해 특정 통로로 들어오는 수상한 연결을 차단하는 보안 규칙이 추가되었습니다.
🇺🇸 원문 (English)
mailcow is a dockerized email package, with multiple containers linked in one bridged network. A security vulnerability has been identified in mailcow affecting versions < 2024-01c. This vulnerability potentially allows attackers on the same subnet to connect to exposed ports of a Docker container, even when the port is bound to 127.0.0.1. The vulnerability has been addressed by implementing additional iptables/nftables rules. These rules drop packets for Docker containers on ports 3306, 6379, 8983, and 12345, where the input interface is not `br-mailcow` and the output interface is `br-mailcow`.
📍 영향받는 시스템
mailcow versions < 2024-01c
⚔️ 공격 벡터
동일 서브넷 내에서 127.0.0.1로 바인딩된 Docker 컨테이너의 특정 포트로 직접 연결 시도
🛡️ 대응 방법
mailcow를 2024-01c 이상의 최신 버전으로 업데이트하여 iptables/nftables 보안 규칙 적용
🔧 검증 코드
출력된 mailcow 버전이 2024-01c보다 높은지 확인하십시오.
docker exec mailcowdockerized-mailcow-mailcow-1 mailcow-update --version 2>/dev/null || echo 'Check mailcow version manually'