🇰🇷 한글 설명
containerd의 CRI 플러그인이 이미지 설정의 라벨을 검증 없이 컨테이너로 전달하는 취약점입니다. 이로 인해 컨테이너 라벨을 사용하는 플러그인을 통해 호스트에서 임의의 명령어가 실행될 수 있습니다.
💡 쉬운 설명
컨테이너를 만들 때 사용하는 설정값(라벨)에 악성 명령어를 숨겨 넣을 수 있는 문제입니다. 이 설정값이 검증 없이 시스템에 전달되면 해커가 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
containerd is an open-source container runtime. In versions prior to 1.7.33, 2.3.2, 2.2.5, 2.1.9, and 2.0.10 the CRI plugin propagates labels from an image config (LABEL instruction in Dockerfile) to a container without validation. This may result in executing an arbitrary command on the host, via a plugin that consumes container labels for some operations. This issue has been fixed in versions 1.7.33, 2.3.2, 2.2.5, 2.1.9, and 2.0.10.
📍 영향받는 시스템
containerd 1.7.33, 2.3.2, 2.2.5, 2.1.9, 2.0.10 미만 버전
⚔️ 공격 벡터
악의적으로 조작된 라벨이 포함된 컨테이너 이미지를 사용하여 호스트 시스템의 명령 실행 유도
🛡️ 대응 방법
containerd를 최신 보안 패치 버전(1.7.33, 2.3.2, 2.2.5, 2.1.9, 2.0.10 이상)으로 업데이트
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 버전(예: 1.7.33 이상 등)인지 확인
containerd --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'