🇰🇷 한글 설명
CRI-O에서 컨테이너 체크포인트를 복구할 때, Pod 사양의 마운트 검증을 거치지 않고 아카이브에 포함된 마운트를 그대로 복구하는 취약점이 발견되었습니다. 이로 인해 공격자는 권한이 없는 호스트 마운트에 접근할 수 있는 컨테이너를 복구하도록 유도할 수 있습니다. 공격을 위해서는 kubelet 또는 cri-o 소켓에 대한 접근 권한이 필요합니다.
💡 쉬운 설명
컨테이너의 상태를 저장했다가 다시 불러오는 과정에서 보안 검사를 건너뛰는 허점이 발견되었습니다. 이를 악용하면 원래는 접근할 수 없는 컴퓨터의 중요한 파일들에 몰래 접근할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability was found in CRI-O, where it can be requested to take a checkpoint archive of a container and later be asked to restore it. When it does that restoration, it attempts to restore the mounts from the restore archive instead of the pod request. As a result, the validations run on the pod spec, verifying that the pod has access to the mounts it specifies are not applicable to a restored container. This flaw allows a malicious user to trick CRI-O into restoring a pod that doesn't have access to host mounts. The user needs access to the kubelet or cri-o socket to call the restore endpoint and trigger the restore.
📍 영향받는 시스템
CRI-O (체크포인트 및 복구 기능 사용 시)
⚔️ 공격 벡터
kubelet 또는 cri-o 소켓에 접근 가능한 사용자가 조작된 체크포인트 아카이브를 사용하여 복구 엔드포인트를 호출
🛡️ 대응 방법
CRI-O를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 CRI-O 버전을 확인하여 취약점이 해결된 최신 버전인지 보안 공지(Advisory)와 대조하십시오.
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access