🇰🇷 한글 설명
Docker Desktop의 셸 자동완성 기능 사용 시 시스템 환경 변수가 진단 로그에 기록되어 API 키와 비밀번호 같은 민감 정보가 노출될 수 있습니다. 이 로그에 접근 가능한 악의적 행위자는 기록된 비밀정보를 이용해 다른 시스템에 무단 접근할 수 있습니다. 버전 4.43.0부터 환경 변수 로깅이 중단되었습니다.
💡 쉬운 설명
Docker Desktop에서 자동완성을 사용할 때 API 키나 비밀번호가 실수로 로그 파일에 저장됩니다. 이 파일을 볼 수 있는 사람은 그 정보로 다른 시스템에 침입할 수 있습니다.
🇺🇸 원문 (English)
System environment variables are recorded in Docker Desktop diagnostic logs, when using shell auto-completion. This leads to unintentional disclosure of sensitive information such as api keys, passwords, etc.
A malicious actor with read access to these logs could obtain secrets and further use them to gain unauthorized access to other systems. Starting with version 4.43.0 Docker Desktop no longer logs system environment variables as part of diagnostics log collection.
📍 영향받는 시스템
Docker Desktop 4.43.0 미만의 모든 버전 (Windows, macOS)
⚔️ 공격 벡터
진단 로그 파일에 접근 가능한 악의적 행위자가 기록된 환경 변수에서 API 키 및 비밀번호 추출
🛡️ 대응 방법
Docker Desktop을 4.43.0 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 4.43.0 이상이면 패치됨, 미만이면 영향을 받음
docker --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'