🇰🇷 한글 설명
lxc-ci의 Arch Linux 이미지 빌드 과정에서 pacman 로컬 서명용 개인 키가 모든 컨테이너에 동일하게 배포되는 취약점이 발견되었습니다. 공격자가 HTTP 미러 서버를 제어하거나 트래픽을 가로챌 경우, 이 키를 이용해 변조된 패키지에 유효한 서명을 부여하여 사용자 시스템에서 루트 권한으로 임의 코드를 실행할 수 있습니다.
💡 쉬운 설명
이미지를 만들 때 사용하는 '비밀 도장'이 모든 컴퓨터에 똑같이 복사되어 배포되는 문제입니다. 해커가 이 도장을 훔치면 가짜 프로그램을 진짜처럼 속여서 여러분의 컴퓨터에 몰래 설치할 수 있습니다.
🇺🇸 원문 (English)
lxc-ci contains continuous integration and image-build scripts for LXC. Prior to the 2026-05-28 Arch Linux image publication, images built from images/archlinux.yaml retain the same pacman local-signing private key in /etc/pacman.d/gnupg and redistribute it to every container or virtual machine created from that image. An attacker who controls an HTTP package mirror or can intercept mirror traffic can use the shared pacman signing private key to sign modified packages that affected clients accept as trusted. Installing those packages permits arbitrary code execution as root on the client system. This issue is fixed in Arch Linux images published on or after 2026-05-28.
📍 영향받는 시스템
2026-05-28 이전 버전의 lxc-ci 기반 Arch Linux 이미지
⚔️ 공격 벡터
HTTP 패키지 미러 서버 장악 또는 네트워크 트래픽 가로채기를 통한 변조된 패키지 배포
🛡️ 대응 방법
2026-05-28 이후에 발행된 최신 Arch Linux 이미지를 사용하여 시스템 재구축
🔧 검증 코드
해당 경로에 pacman 서명 키 파일이 존재하는지 확인하여 이미지의 보안 상태를 점검합니다.
ls -l /etc/pacman.d/gnupg/secring.gpg 2>/dev/null && echo 'Key exists' || echo 'Key not found'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
NVIDIA Cloud Gaming Guest Driver for Linux