🇰🇷 한글 설명
Docker Sandboxes(sbx)가 HTTP/S 전용 외부 통신 허용 목록을 강제하지만, DNS 확인 과정에는 이를 적용하지 않는 취약점입니다. 샌드박스 내부의 신뢰할 수 없는 워크로드가 정책을 우회하여 DNS 레이블에 데이터를 인코딩함으로써 공격자 제어 도메인으로 데이터를 유출할 수 있는 DNS 은닉 채널 공격이 가능합니다.
💡 쉬운 설명
보안 설정으로 특정 웹사이트만 접속하게 막아두었지만, 주소를 찾는 과정(DNS)은 막지 못하는 허점이 있습니다. 이를 이용해 해커는 웹 접속이 아닌 주소 찾기 기능을 통해 몰래 데이터를 밖으로 빼낼 수 있습니다.
🇺🇸 원문 (English)
Docker Sandboxes (sbx) enforces an HTTP/S-only egress allowlist but does not apply it to DNS resolution: the per-network embedded DNS server forwards any queried name to the host resolver whenever the network is internet-connected, without consulting the policy. A workload inside a sandbox, which the threat model treats as untrusted, can therefore encode data into DNS labels for an attacker-controlled domain and exfiltrate it through a DNS covert channel, bypassing the configured allowlist.
📍 영향받는 시스템
Docker Sandboxes (sbx) 기능을 사용하는 Docker 환경
⚔️ 공격 벡터
DNS 레이블에 데이터를 인코딩하여 외부 DNS 서버로 전송하는 DNS Covert Channel 공격
🛡️ 대응 방법
Docker 엔진 업데이트를 통해 DNS 쿼리 시에도 허용 목록(Allowlist)이 적용되도록 패치 적용
🔧 검증 코드
출력된 Docker 엔진 버전이 해당 취약점이 패치된 최신 버전인지 확인
docker version --format '{{.Server.Version}}'