🇰🇷 한글 설명
containerd의 CRI CreateContainer 체크포인트 복구 기능에서 보안 상태가 목적지 ContainerConfig를 따르지 않고 체크포인트 데이터로부터 복구되는 취약점이 발견되었습니다. 공격자가 조작된 체크포인트를 사용하여 컨테이너를 생성할 경우, 루트 권한, 전체 기능(capabilities), seccomp 필터가 없는 상태 등 의도치 않은 보안 설정을 주입할 수 있습니다.
💡 쉬운 설명
컨테이너를 저장했다가 다시 불러오는 과정에서 보안 설정이 무시되는 문제입니다. 해커가 조작된 파일을 이용해 보안 장치가 해제된 강력한 권한의 컨테이너를 몰래 실행할 수 있습니다.
🇺🇸 원문 (English)
containerd is an open-source container runtime. From 2.1.0 until 2.2.7 and 2.3.4, containerd's CRI CreateContainer checkpoint restore is vulnerable because CRIU restores process security state from checkpoint data instead of enforcing the destination ContainerConfig. An attacker who can create a container from a crafted checkpoint can supply restored credentials, capabilities, no_new_privs, and seccomp state. The restored process can run as root with full capabilities and no enforced seccomp filters while CRI status reports the requested configuration. Systems that do not use CRI checkpoint restore are not affected. This issue is fixed in versions 2.2.7 and 2.3.4.
📍 영향받는 시스템
containerd 2.1.0 ~ 2.2.7 및 2.3.4 버전 (CRI 체크포인트 복구 기능 사용 시)
⚔️ 공격 벡터
조작된 체크포인트 데이터를 사용하여 컨테이너를 복구함으로써 보안 설정(권한, seccomp 등)을 우회함
🛡️ 대응 방법
containerd를 최신 수정 버전인 2.2.7 또는 2.3.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 범위(2.1.0-2.2.7 또는 2.3.0-2.3.4)에 해당하면 취약한 상태입니다.
containerd --version 2>/dev/null | grep -E '2\[\.(1|2)\.([0-7]|2\.[0-7])|2\.3\.([0-4])'