🇰🇷 한글 설명
Dozzle 10.6.7 미만 버전에서 발생하는 보안 취약점으로, 제한된 권한을 가진 사용자가 자신의 권한 범위를 벗어난 컨테이너의 상태 및 이벤트 정보를 조회할 수 있습니다. 공격자는 이를 통해 컨테이너 이름, 이미지, 리소스 사용량(CPU/메모리), 네트워크 및 디스크 통계 등 민감한 텔레메트리 데이터를 수집할 수 있습니다.
💡 쉬운 설명
로그를 보는 프로그램인 Dozzle에서 권한 설정이 제대로 작동하지 않아, 허용되지 않은 다른 컨테이너의 활동 정보를 몰래 볼 수 있는 문제입니다. 컨테이너가 무엇을 하는지, 자원을 얼마나 쓰는지 등의 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
Dozzle is a realtime log viewer for docker containers. Prior to 10.6.7, streamEvents in internal/web/events.go applies a restricted user's label filter to container lists but not to the container-stat and container-event channels returned by GET /api/events/stream. In a simple-auth deployment using per-user filters, any authenticated restricted account can receive resource telemetry and lifecycle events for containers outside its authorized label scope. The exposed data includes container names, images, full label maps, CPU and memory use, network and disk totals, and deployment or restart activity across monitored hosts, but does not include log contents, environment values, or exec access. This issue is fixed in version 10.6.7.
📍 영향받는 시스템
Dozzle 10.6.7 미만 모든 버전
⚔️ 공격 벡터
인증된 제한적 권한 계정을 사용하여 /api/events/stream 엔드포인트에 접근하여 권한 밖의 이벤트 스트림 탈취
🛡️ 대응 방법
Dozzle를 최신 보안 패치가 적용된 버전인 10.6.7 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 10.6.7 이상인지 확인하여 취약점 여부를 판단합니다.
docker exec <dozzle_container_id> Dozzle --version 2>/dev/null || curl -s http://localhost:8080/version | grep -E '10.6.7'