🇰🇷 한글 설명
Docker Sandboxes(sbx)에서 런타임 호스트 마운트의 읽기 전용 설정이 게스트 컨테이너의 바인드에만 적용되는 취약점입니다. 이로 인해 virtio-fs 호스트-에지 권한이 액세스 모드 없이 샌드박스 정책에 추가되어, 호스트 디렉토리가 공유 경로에서 여전히 쓰기 가능한 상태로 유지됩니다. 결과적으로 샌드박스 내부의 권한이 없는 코드가 호스트 디렉토리에 파일을 쓸 수 있습니다.
💡 쉬운 설명
샌드박스라는 격리된 공간에서 파일을 '읽기 전용'으로 설정해도, 실제로는 호스트 컴퓨터의 파일을 수정할 수 있는 보안 구멍이 있습니다. 공격자가 이 경로를 찾아내면 격리된 환경을 넘어 실제 컴퓨터의 파일을 마음대로 바꿀 수 있습니다.
🇺🇸 원문 (English)
Docker Sandboxes (sbx) applies the read-only intent of a runtime host mount to the in-guest container bind only: the underlying virtio-fs host-edge grant is added to the sandbox's policy-share allowlist with no access mode. The directory stays writable at its shared-export path, so unprivileged code inside the sandbox can derive that path and write to a host directory the operator attached read-only.
📍 영향받는 시스템
Docker Sandboxes (sbx)를 사용하는 Docker 환경
⚔️ 공격 벡터
샌드박스 내부의 비특권 코드가 공유된 virtio-fs 경로를 찾아내어 호스트 디렉토리에 쓰기 시도
🛡️ 대응 방법
Docker 엔진 및 Sandbox 관련 구성 요소를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 Docker 서버 버전이 해당 취약점이 해결된 패치 버전인지 공식 보안 공지를 통해 확인
docker version --format '{{.Server.Version}}'