🇰🇷 한글 설명
Podman Desktop 1.26.2 이전 버전의 인증되지 않은 HTTP 서버가 연결 제한 및 타임아웃 부재로 인해 파일 디스크립터 및 커널 메모리 고갈 공격에 노출됩니다. 추가로 자세한 에러 응답을 통해 내부 경로, 시스템 정보, Windows의 경우 사용자명 등 민감 정보가 유출됩니다.
💡 쉬운 설명
Podman Desktop 프로그램이 보호되지 않은 웹 서버를 실행하여 인터넷상의 누구나 공격할 수 있습니다. 공격자는 과도한 요청을 보내 프로그램을 먹통으로 만들거나 컴퓨터 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
Podman Desktop is a graphical tool for developing on containers and Kubernetes. Prior to 1.26.2, an unauthenticated HTTP server exposed by Podman Desktop allows any network attacker to remotely trigger denial-of-service conditions and extract sensitive information. By abusing missing connection limits and timeouts, an attacker can exhaust file descriptors and kernel memory, leading to application crash or full host freeze. Additionally, verbose error responses disclose internal paths and system details (including usernames on Windows), aiding further exploitation. The issue requires no authentication or user interaction and is exploitable over the network. This vulnerability is fixed in 1.26.2.
📍 영향받는 시스템
Podman Desktop 1.26.1 이하 모든 버전
⚔️ 공격 벡터
네트워크를 통한 인증 없이 HTTP 요청으로 DoS 및 정보 유출 공격
🛡️ 대응 방법
Podman Desktop을 1.26.2 이상으로 업그레이드
🔧 검증 코드
버전이 1.26.2 이상이면 안전하고, 1.26.1 이하이거나 설치되지 않았으면 업그레이드 필요
podman-desktop --version 2>/dev/null || dpkg -l 2>/dev/null | grep podman-desktop || rpm -q podman-desktop 2>/dev/null || echo 'Not installed'