🇰🇷 한글 설명
Contrast 1.14.0 미만 1.23.1 버전에서 런타임 정책이 컨테이너 이미지 교체를 완벽하게 탐지하지 못하는 취약점이 발견되었습니다. Kata Containers 업데이트 중 발생한 실수로 인해 이미지 다이제스트를 검증하지 않고 'image_guest_pull' 드라이버를 허용하는 규칙이 추가되었습니다. 이로 인해 공격자가 Kata 에이전트 API에 접근할 수 있다면 컨테이너 이미지를 악성 페이로드로 교체하여 기밀 컨테이너의 무결성을 훼손할 수 있습니다.
💡 쉬운 설명
컨테이너를 실행할 때 사용하는 이미지의 정품 여부를 확인하는 과정에 구멍이 생긴 보안 사고입니다. 공격자가 권한을 이용해 정상적인 이미지 대신 악성 코드가 담긴 가짜 이미지를 몰래 끼워 넣을 수 있습니다.
🇺🇸 원문 (English)
Contrast (edgelesssys/contrast) versions 1.14.0 before 1.23.1 generate runtime policies that fail to detect all container image substitutions. A bad rebase during a Kata Containers update accidentally introduced an `allow_storage` rule that accepts storage entries using the `image_guest_pull` driver without verifying the image digest. An attacker with access to the Kata agent API — for example, a Kubernetes cluster administrator in Contrast's threat model — can therefore substitute a container image with an exploit payload, provided the substituted image satisfies the remaining policy rules, undermining the confidential container's integrity guarantees.
📍 영향받는 시스템
Contrast (edgelesssys/contrast) versions 1.14.0 to 1.23.0
⚔️ 공격 벡터
Kata 에이전트 API에 접근 권한이 있는 공격자가 이미지 다이제스트 검증을 우회하여 악성 이미지를 주입
🛡️ 대응 방법
Contrast 버전을 1.23.1 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 1.14.0에서 1.23.0 사이의 버전 번호가 나타나면 취약한 상태입니다.
contrast --version 2>/dev/null | grep -E '1\[1-9]\.[1-4][0-9]\.|1\.2[0-2]\.'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access