🇰🇷 한글 설명
Docker Desktop 4.46.0에서 Enhanced Container Isolation(ECI)의 명령 제한 설정이 무시되는 버그로 인해 Docker 소켓이 마운트된 컨테이너가 모든 제한 없이 Docker 명령을 실행할 수 있음. 관리자가 설정한 보안 정책이 우회되어 컨테이너에서 호스트 시스템을 제어할 수 있는 과도한 권한이 부여됨.
💡 쉬운 설명
Docker를 관리하는 특별한 보안 기능이 제대로 작동하지 않아 컨테이너가 제한되어야 할 명령들을 실행할 수 있음. 관리자가 설정한 제한이 무시되는 버그로 인한 보안 허점임.
🇺🇸 원문 (English)
In a hardened Docker environment, with Enhanced Container Isolation ( ECI https://docs.docker.com/enterprise/security/hardened-desktop/enhanced-container-isolation/ ) enabled, an administrator can utilize the command restrictions feature https://docs.docker.com/enterprise/security/hardened-desktop/enhanced-container-isolation/config/#command-restrictions to restrict commands that a container with a Docker socket mount may issue on that socket.
Due to a software bug, the configuration to restrict commands was ignored when passed to ECI, allowing any command to be executed on the socket. This grants excessive privileges by permitting unrestricted access to powerful Docker commands.
The vulnerability affects only Docker Desktop 4.46.0 users that have ECI enabled and are using the Docker socket command restrictions feature. In addition, since ECI restricts mounting the Docker socket into containers by default, it only affects containers which are explicitly allowed by the administrator to mount the Docker socket.
📍 영향받는 시스템
Docker Desktop 4.46.0 (ECI 활성화 및 Docker 소켓 명령 제한 기능 사용 시)
⚔️ 공격 벡터
Docker 소켓 마운트가 허용된 컨테이너 내에서 제한된 Docker 명령을 실행하여 호스트 시스템에 대한 무제한 접근 달성
🛡️ 대응 방법
Docker Desktop을 4.46.0 이후 버전으로 업그레이드하거나 ECI 명령 제한 기능이 패치될 때까지 Docker 소켓 마운트 권한 제한
🔧 검증 코드
4.46.0 버전이 출력되면 취약함, 4.46.1 이상이면 패치됨. ECI 활성 상태 확인: docker info | grep -i hardened
docker --version | grep -oP '(?<=Docker version )[0-9.]+' | awk '{if ($1 == "4.46.0") print "VULNERABLE"}'