🇰🇷 한글 설명
Docker Sandbox(sbx)가 네트워크 생성 시에만 ICMP 유출 차단 설정을 적용하고, 데몬 재시작 후 디스크에서 네트워크를 재구축할 때는 이를 재적용하지 않는 결함이 있습니다. 이로 인해 샌드박스 내의 신뢰할 수 없는 워크로드가 설정된 허용 목록을 우회하여 임의의 호스트로 ICMP 패킷을 전송할 수 있습니다.
💡 쉬운 설명
도커를 재시작하면 보안 설정이 풀려버리는 문제가 있습니다. 이 때문에 해커가 차단된 통로를 통해 몰래 데이터를 빼돌리거나 네트워크 정보를 수집할 수 있습니다.
🇺🇸 원문 (English)
Docker Sandboxes (sbx) blocks ICMP egress with an authorizer applied only at network-creation time, and does not re-apply it to networks rebuilt from disk when the Docker daemon restarts, so a restart-surviving sandbox forwards ICMP to arbitrary hosts. A workload inside a sandbox, which the threat model treats as untrusted, can therefore defeat the documented ICMP egress block to perform network reconnaissance and exfiltrate data over an ICMP covert channel, regardless of the configured allowlist.
📍 영향받는 시스템
ICMP egress 차단 기능이 적용된 Docker Sandbox(sbx) 환경
⚔️ 공격 벡터
도커 데몬 재시작 후 재구축된 네트워크를 통해 ICMP 프로토콜을 이용한 데이터 유출 및 네트워크 정찰
🛡️ 대응 방법
Docker 엔진을 최신 보안 패치가 적용된 버전으로 업데이트하거나, 네트워크 재구축 시에도 정책이 유지되도록 설정 확인
🔧 검증 코드
출력된 Docker 엔진 버전이 해당 취약점이 해결된 패치 버전인지 보안 공지(Advisory)와 대조하여 확인
docker version --format '{{.Server.Version}}'