🇰🇷 한글 설명
Docker Desktop의 ECI(Enhanced Container Isolation) 기능이 --use-api-socket 플래그를 사용할 때 발생하는 보안 우회 취약점입니다. 이 플래그를 사용하면 Docker socket 마운트가 검사 대상인 Binds 필드가 아닌 HostConfig.Mounts 필드를 통해 추가되어, ECI의 제한을 피해 Docker 엔진 및 인증 정보에 접근할 수 있습니다.
💡 쉬운 설명
Docker의 보안 격리 기능을 특정 명령어를 통해 무력화할 수 있는 결함입니다. 공격자가 이 기능을 이용하면 컨테이너 내부에서 컴퓨터 전체의 제어권을 얻거나 중요한 로그인 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
The Docker CLI --use-api-socket flag bypasses Enhanced Container Isolation (ECI) restrictions in Docker Desktop. When ECI is enabled, Docker socket mounts from containers are denied unless explicitly allowed via the admin-settings configuration. However, the --use-api-socket flag adds the Docker socket mount via the HostConfig.Mounts field rather than the HostConfig.Binds field. The ECI enforcement in the Docker Desktop API proxy only inspected Binds, allowing the mount to pass unchecked. This grants a container full access to the Docker Engine socket and, if the host user has logged in to container registries, their authentication credentials.
A local attacker with the ability to run Docker CLI commands can exploit this to escape ECI restrictions, access the Docker Engine, and potentially escalate privileges.
📍 영향받는 시스템
Enhanced Container Isolation(ECI) 기능이 활성화된 Docker Desktop 환경
⚔️ 공격 벡터
로컬에서 Docker CLI 명령어를 실행할 수 있는 공격자가 --use-api-socket 플래그를 사용하여 보안 검사를 우회함
🛡️ 대응 방법
Docker Desktop을 최신 보안 패치가 적용된 버전으로 업데이트하고, 불필요한 경우 --use-api-socket 플래그 사용을 금지함
🔧 검증 코드
설치된 Docker의 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 대조함
docker version --format '{{.Server.Version}}'