🇰🇷 한글 설명
Docker Model Runner의 OCI 레지스트리 토큰 교환 흐름에서 SSRF(Server-Side Request Forgery) 취약점이 발견되었습니다. 악의적인 레지스트리가 realm URL을 내부 주소로 조작하면, Model Runner는 검증 없이 내부 서비스에 임의의 GET 요청을 전송하고 응답을 공격자에게 반환합니다. 토큰 교환 메커니즘을 통해 내부 데이터가 공격자의 레지스트리로 유출될 수 있습니다.
💡 쉬운 설명
Docker AI 모델 관리 도구에 보안 결함이 있어서 공격자가 가짜 모델 저장소를 통해 컴퓨터 내부 시스템에 몰래 접근할 수 있습니다. 공격자는 내부 서비스의 데이터를 빼내거나 민감한 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
Docker Model Runner (DMR) is software used to manage, run, and deploy AI models using Docker. Prior to version 1.1.25, Docker Model Runner contains an SSRF vulnerability in its OCI registry token exchange flow. When pulling a model, Model Runner follows the realm URL from the registry's WWW-Authenticate header without validating the scheme, hostname, or IP range. A malicious OCI registry can set the realm to an internal URL (e.g., http://127.0.0.1:3000/), causing Model Runner running on the host to make arbitrary GET requests to internal services and reflect the full response body back to the caller. Additionally, the token exchange mechanism can relay data from internal services back to the attacker-controlled registry via the Authorization: Bearer header. This issue has been patched in version 1.1.25. For Docker Desktop users, enabling Enhanced Container Isolation (ECI) blocks container access to Model Runner, preventing exploitation. However, if the Docker Model Runner is exposed to localhost over TCP in specific configurations, the vulnerability is still exploitable.
📍 영향받는 시스템
Docker Model Runner 1.1.25 미만 모든 버전
⚔️ 공격 벡터
악의적인 OCI 레지스트리에서 WWW-Authenticate 헤더의 realm을 내부 URL로 조작하여 SSRF 공격 수행
🛡️ 대응 방법
Docker Model Runner를 1.1.25 이상으로 즉시 업그레이드하거나 Docker Desktop의 Enhanced Container Isolation(ECI) 기능 활성화
🔧 검증 코드
설치된 Docker Model Runner 버전이 1.1.25 이상이면 안전하며, 1.1.25 미만이면 즉시 업그레이드 필요합니다. 설치되어 있지 않으면 'Not found' 메시지가 출력됩니다.
dpkg -l docker-model-runner 2>/dev/null | grep docker-model-runner | awk '{print $3}' || rpm -q docker-model-runner 2>/dev/null