🇰🇷 한글 설명
CRI-O의 체크포인트 복구 기능에서 발생하는 취약점으로, 악의적인 체크포인트 컨테이너를 통해 생성된 포드가 대상 Kubernetes 보안 컨텍스트를 우회할 수 있습니다. 복구된 프로세스가 대상 설정 대신 체크포인트의 자격 증명, Linux 권한, seccomp 상태를 유지하여 보안 경계를 넘어 권한을 상승시킬 수 있습니다.
💡 쉬운 설명
컨테이너의 상태를 저장했다가 다시 불러오는 과정에서 보안 설정이 무시되는 문제입니다. 공격자가 조작된 저장 파일을 사용하면 원래 허용되지 않은 높은 권한을 가진 채로 컨테이너를 실행할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability in CRI-O checkpoint restore allows a user who can create a pod from a malicious checkpointed container to bypass the destination Kubernetes security context. The restored process may retain credentials, Linux capabilities, no_new_privs, and seccomp state from the checkpoint instead of enforcing the destination configuration. This can allow execution with elevated privileges across the container security boundary.
Affected upstream supported versions are CRI-O 1.34 and later. Downstream Red Hat products are affected from OCP 4.17 onward. Fixes have been applied to supported branches but are not yet released.
Exploitation requires permission to create a pod from a malicious checkpoint image and checkpoint restore functionality to be available.
📍 영향받는 시스템
CRI-O 1.34 이상 버전 및 Red Hat OCP 4.17 이상 버전
⚔️ 공격 벡터
악의적으로 조작된 체크포인트 이미지를 사용하여 포드를 생성하고 복구 기능을 실행함
🛡️ 대응 방법
CRI-O 및 Red Hat의 공식 보안 패치 업데이트 적용
🔧 검증 코드
출력된 CRI-O 버전이 1.34 이상인지 확인하여 취약 가능성을 판단합니다.
crio --version 2>/dev/null | grep -E '1.34'