🇰🇷 한글 설명
SingularityCE 및 SingularityPRO에서 LSM(LSM restrictions) 제한을 통해 악성 동작을 방지하려는 경우, 특정 조건에서 공격자가 LSM 레이블 쓰기 작업을 리디렉션하여 무력화할 수 있습니다. 공격자는 악성 컨테이너 이미지를 실행시켜 /proc 마운트를 공유 마운트 대상으로 리디렉션함으로써 보안 제어를 우회할 수 있습니다.
💡 쉬운 설명
컨테이너 보안 시스템이 작동하지 않도록 속여서 보안 규칙을 무시하게 만드는 취약점입니다. 사용자가 악성 컨테이너를 실행할 경우, 시스템의 보안 레이블이 제대로 기록되지 않아 공격자가 권한을 오용할 수 있습니다.
🇺🇸 원문 (English)
SingularityCE and SingularityPRO are open source container platforms. Prior to SingularityCE 4.3.5 and SingularityPRO 4.1.11 and 4.3.5, if a user relies on LSM restrictions to prevent malicious operations then, under certain circumstances, an attacker can redirect the LSM label write operation so that it is ineffective. The attacker must cause the user to run a malicious container image that redirects the mount of /proc to the destination of a shared mount, either known to be configured on the target system, or that will be specified by the user when running the container. The attacker must also control the content of the shared mount, for example through another malicious container which also binds it, or as a user with relevant permissions on the host system it is bound from. This vulnerability is fixed in SingularityCE 4.3.5 and SingularityPRO 4.1.11 and 4.3.5.
📍 영향받는 시스템
SingularityCE 4.3.5 미만 버전, SingularityPRO 4.1.11 미만 및 4.3.5 미만 버전
⚔️ 공격 벡터
악성 컨테이너 이미지를 통해 /proc 마운트를 공유 마운트로 리디렉션하여 LSM 레이블 쓰기 작업을 무력화함
🛡️ 대응 방법
SingularityCE 4.3.5 또는 SingularityPRO 4.1.11 및 4.3.5 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전이 SingularityCE 4.3.5 또는 SingularityPRO 4.1.11/4.3.5 이상인지 확인
singularity --version 2>/dev/null || singularity-ce --version 2>/dev/null