컨테이너 엔진 관련 취약점: CVE-2024-21626

2024년 1월 말, 컨테이너 엔진으로 널리 쓰이는 runc에서 취약점(CVE-2024-21626)이 발견되었습니다. runc는 Docker와 Kubernetes 등이 컨테이너 이미지를 빌드하거나 실행할 때 사용하는 컨테이너 엔진입니다.

CVE-2024-21626 취약점이란

• 공격자가 컨테이너에서 탈출(Container Escape)하여 호스트 시스템에 비허가 접근 위험이 있는 취약점(CVE-2024-21626)이 runc에서 발견되었습니다.
• 해당 취약점은 runc가 컨테이너 이미지를 생성하거나 실행하는 특정 시점에 호스트 내 파일레 접근 가능한 통로가 여전히 남아있기 때문에 발생한 것입니다.
• 악성 컨테이너 이미지를 실행하거나, 악성 Dockerfile 또는 악성 Base Image로 컨테이너 이미지를 빌드할 때 해당 취약점의 영향을 받을 수 있습니다.

CVE-2024-21626이 위험한 이유

• 공격자가 컨테이너에서 벗어나 호스트 시스템에 저장되어있던 모든 데이터(계정 정보, 사용자 정보 등)를 획득 가능합니다.
• 또한 공격자가 컨테이너에서 벗어난 뒤 호스트 시스템에서 추가 공격이 가능합니다.
• 컨테이너 엔진인 runc에 영향을 주는 취약점이므로, runc를 기반으로 작동하면서 널리 사용되는 컨테이너 툴 Docker, Kubernetes도 영향을 받게 되어 파급력이 큽니다.

CVE-2024-21626에 대한 대처 방법

• 사용 중인 컨테이너 툴 버전을 해당 취약점에 대해 보완된 버전으로 최신 업데이트합니다.

  • runc >= 1.1.12
  • containerd >= 1.6.28
  • Docker Desktop >= 4.27.1

• 현재 사용 중인 컨테이너 툴을 바로 업데이트하기 어렵다면…

  • 신뢰할 수 있는 컨테이너 이미지만 사용합니다.
  • 컨테이너 이미지 빌드 시, 신뢰할 수 있는 Dockerfile 또는 신뢰할 수 있는 Base Image만 사용합니다.