🇰🇷 한글 설명
kaniko 1.25.4 및 이전 버전에서 빌드 컨텍스트 아카이브를 압축 해제할 때 경로 검증이 미흡하여 발생하는 취약점입니다. 공격자가 특수하게 조작된 tar 엔트리를 사용하여 지정된 디렉토리를 벗어나 시스템 파일에 접근하거나 코드를 실행할 수 있습니다.
💡 쉬운 설명
컨테이너 이미지를 만드는 도구인 kaniko가 압축 파일을 풀 때, 정해진 폴더 밖으로 파일을 저장할 수 있는 보안 허점이 발견되었습니다. 이를 통해 해커가 시스템의 중요한 파일을 바꾸거나 악성 코드를 실행할 위험이 있습니다.
🇺🇸 원문 (English)
kaniko is a tool to build container images from a Dockerfile, inside a container or Kubernetes cluster. Starting in version 1.25.4 and prior to version 1.25.10, kaniko unpacks build context archives using `filepath.Join(dest, cleanedName)` without enforcing that the final path stays within `dest`. A tar entry like `../outside.txt` escapes the extraction root and writes files outside the destination directory. In environments with registry authentication, this can be chained with docker credential helpers to achieve code execution within the executor process. Version 1.25.10 uses securejoin for path resolution in tar extraction.
📍 영향받는 시스템
kaniko version 1.25.4 및 그 이전 버전
⚔️ 공격 벡터
조작된 경로(예: ../)가 포함된 tar 아카이브 파일을 빌드 컨텍스트로 제공하여 경로 탈출(Path Traversal) 유도
🛡️ 대응 방법
kaniko를 보안 패치가 적용된 버전인 1.25.10 이상으로 업데이트
🔧 검증 코드
출력된 버전이 1.25.10 미만이면 취약한 상태이며, 1.25.10 이상이면 안전합니다.
kaniko --version 2>/dev/null | grep -E '1.25\.(10|[0-9])'