🇰🇷 한글 설명
Nuclio의 로컬 Docker 플랫폼에서 함수 네임스페이스 값이 검증 없이 docker ps 명령에 삽입되어 발생하는 명령 주입 취약점입니다. 공격자는 이를 통해 대시보드 컨테이너 내에서 임의의 OS 명령을 실행할 수 있으며, 결과적으로 호스트 시스템의 권한을 탈취할 수 있습니다.
💡 쉬운 설명
Nuclio라는 프로그램의 설정값에 악성 명령어를 섞어 넣으면, 해커가 컴퓨터 전체를 마음대로 조종할 수 있는 보안 구멍이 발견되었습니다. 이 문제는 인증 절차가 없는 상태에서 발생하여 매우 위험합니다.
🇺🇸 원문 (English)
Nuclio is a "Serverless" framework for Real-Time Events and Data Processing. Prior to version 1.17.4, on the Nuclio local Docker platform, the function namespace is interpolated—unvalidated—into a double-quoted docker ps --filter "label=nuclio.io/namespace=<value>" command that is executed via the host shell (/bin/sh -c). Because the default auth kind is nop (unauthenticated), a remote attacker can inject arbitrary OS commands that run as root inside the dashboard container, which holds the Docker socket → host compromise. This issue has been patched in version 1.17.4.
📍 영향받는 시스템
Nuclio version 1.17.4 미만 (local Docker platform 사용 시)
⚔️ 공격 벡터
검증되지 않은 함수 네임스페이스 값을 이용한 쉘 명령 주입 (Command Injection)
🛡️ 대응 방법
Nuclio를 버전 1.17.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.17.4 미만인 경우 해당 취약점에 노출된 상태입니다.
nuclio --version 2>/dev/null | grep -E '1\[\.(1[0-7]|[0-9])\.[0-4]' || echo 'Version check failed'