🇰🇷 한글 설명
Moby 컨테이너 프레임워크에서 압축 파일 업로드 시 호스트가 아닌 컨테이너 내부의 압축 해제 바이너리를 사용하는 취약점이 발견되었습니다. 공격자가 악성 바이너리가 포함된 이미지를 사용하면 컨테이너에 압축 파일을 업로드하는 것만으로 호스트 루트 권한의 임의 코드 실행이 가능합니다.
💡 쉬운 설명
컨테이너에 파일을 넣을 때 사용하는 압축 해제 도구를 컨테이너 안에 숨겨진 가짜 도구로 바꿔치기할 수 있는 문제입니다. 이를 통해 해커가 내 컴퓨터의 관리자 권한을 통째로 뺏을 수 있습니다.
🇺🇸 원문 (English)
Moby is an open source container framework. In versions prior to 29.5.1 and in moby/moby v2 prior to v2.0.0-beta.14, when a compressed archive is uploaded to a container via `PUT /containers/{id}/archive` or piped through `docker cp -`, the daemon resolves decompression binaries (such as `xz` or `unpigz`) from the container's filesystem rather than the host's due to incorrect ordering of operations. A malicious container image containing a trojanized decompression binary can achieve arbitrary code execution with full daemon privileges, including host root UID and unrestricted capabilities, when a user uploads a compressed (xz or gzip) archive into that container. This issue is fixed in Docker Engine 29.5.1 and moby/moby v2.0.0-beta.14. Workarounds include only running containers from trusted images, using authorization plugins to restrict access to the `PUT /containers/{id}/archive` endpoint, and avoiding piping compressed archives into containers created from untrusted images
📍 영향받는 시스템
Moby versions prior to 29.5.1 and moby/moby v2 prior to v2.0.0-beta.14
⚔️ 공격 벡터
악성 압축 해제 바이너리가 포함된 이미지를 실행 중인 컨테이너에 압축 파일을 업로드(PUT 또는 docker cp)하여 공격
🛡️ 대응 방법
Docker Engine 29.5.1 또는 moby/moby v2.0.0-beta.14 이상 버전으로 업데이트
🔧 검증 코드
출력 결과에 Docker Engine 버전이 29.5.1 이상이거나 moby/moby v2 버전이 2.0.0-beta.14 이상인지 확인합니다.
docker version | grep -E 'Engine|Server' | grep -E '29.5.1|2.0.0-beta.14'