🇰🇷 한글 설명
containerd의 CRI 구현에서 체크포인트 이미지 메타데이터 내의 CDI 주석을 부적절하게 신뢰하는 취약점이 발견되었습니다. 공격자는 컨테이너 복구 시 임의의 CDI 편집을 주입하여 Kubernetes의 리소스 할당 및 장치 플러그인 강제 적용을 우회할 수 있습니다. 이 문제는 containerd 2.3.2, 2.2.5, 2.1.9 미만 버전에서 발생합니다.
💡 쉬운 설명
컨테이너를 저장했다가 다시 불러올 때, 원래 정해진 규칙을 무시하고 공격자가 몰래 끼워 넣은 장치 설정이 적용될 수 있는 문제입니다. 이를 통해 공격자는 허가되지 않은 컴퓨터 자원에 접근할 수 있습니다.
🇺🇸 원문 (English)
containerd is an open-source container runtime. In Versions prior to 2.3.2, 2.2.5 and 2.1.9, the CRI implementation improperly trusts Container Device Interface (CDI) annotations found within untrusted checkpoint image metadata during container restoration. When restoring a container from a checkpoint, containerd preserves CDI-related annotations from the checkpoint archive rather than relying solely on the pod's create-time specification. This allows a user with pod creation permissions to bypass standard Kubernetes resource allocation and device plugin enforcement, injecting arbitrary CDI edits (such as device nodes and host mounts) into the restored container. Successful exploitation requires that the node has CDI enabled and contains a matching host CDI specification for the requested device; environments where CDI is disabled or lacking sensitive device specifications are not affected. This issue has been fixed in versions 2.3.2, 2.2.5 and 2.1.9.
📍 영향받는 시스템
containerd versions prior to 2.3.2, 2.2.5, and 2.1.9
⚔️ 공격 벡터
신뢰할 수 없는 체크포인트 이미지의 CDI 주석을 이용한 컨테이너 복구 시 장치 노드 및 호스트 마운트 주입
🛡️ 대응 방법
containerd를 최신 패치 버전(2.3.2, 2.2.5, 2.1.9 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 출력되면 업데이트가 필요한 상태입니다.
containerd --version 2>/dev/null | grep -E '2\.(3\.[2-9]|2\.[2]\.[5-9]|1\.[9]\.[0-9])|1\.[0-9]\.[0-9]'