컨테이너에서 탈출할 수 있게 해주는 Docker의 취약점

격리된 Linux Docker 컨테이너를 관리하기 위한 툴킷 확인됨 취약점(CVE-2018-15664), 특정 상황에서 시스템에서 자체 이미지를 실행할 수 있거나 실행 중인 컨테이너에 액세스할 때 컨테이너에서 호스트 환경에 액세스할 수 있도록 허용합니다. 이 문제는 모든 버전의 Docker에 영향을 미치며 수정되지 않은 상태로 남아 있습니다(제안되었지만 아직 승인되지 않음, 패치, FS를 사용하여 작업을 실행하는 동안 컨테이너의 작업을 일시 중단하도록 구현합니다.

이 취약점을 악용하면 "docker cp" 명령을 실행할 때 컨테이너에서 호스트 시스템의 FS의 임의의 부분으로 파일을 추출할 수 있습니다. 파일 추출은 루트 권한으로 수행되며, 이를 통해 호스트 환경에 있는 모든 파일을 읽거나 쓸 수 있고, 이를 통해 호스트 시스템을 제어할 수 있습니다(예를 들어, /etc/shadow를 다시 쓸 수 있습니다).

공격은 관리자가 "docker cp" 명령을 실행하여 컨테이너에 파일을 복사하거나 컨테이너에서 파일을 복사할 때만 수행할 수 있습니다. 따라서 공격자는 Docker 관리자에게 이 작업을 수행해야 한다는 사실을 어떻게든 확신시키고 복사 중에 사용되는 경로를 예측해야 합니다. 반면, 예를 들어 클라우드 서비스가 "docker cp" 명령을 사용하여 구축된 컨테이너에 구성 파일을 복사하는 수단을 제공하는 경우 공격이 수행될 수 있습니다.

문제는 해당 함수의 적용에 결함이 있어 발생했습니다. FollowSymlinkInScope컨테이너의 위치를 ​​고려하여 상대 경로를 기반으로 주 FS의 절대 경로를 계산합니다. "docker cp" 명령을 실행하는 동안 잠시 멈춤 현상이 발생합니다. 경쟁 조건, 경로는 이미 확인되었지만, 작업은 아직 수행되지 않았습니다. 호스트 시스템의 주 FS 컨텍스트에서 복사가 수행되므로 지정된 기간 동안 링크를 다른 경로로 바꾸고 컨테이너 외부의 파일 시스템의 임의의 위치에 데이터 복사를 시작할 수 있습니다.

경쟁 조건이 자체적으로 나타날 수 있는 시간 창이 준비된 상태에서는 매우 제한적이기 때문에 프로토타입을 악용하다 컨테이너에서 복사 작업을 수행할 때 복사 작업에 사용된 경로에 있는 심볼릭 링크를 주기적으로 바꾸는 방법으로 1% 미만의 사례에서 성공적인 공격을 달성할 수 있었습니다("docker cp" 명령으로 루프에서 파일을 복사하려고 계속 시도한 후 약 10초 후에 성공적인 공격이 수행되었습니다).

컨테이너에 복사 작업을 수행하면 단 몇 번의 반복만으로 호스트 시스템에 대한 반복 가능한 파일 덮어쓰기 공격을 달성할 수 있습니다. 공격이 가능한 이유는 컨테이너에 복사할 때 "chrootarchive"라는 개념이 사용되기 때문입니다. 이 개념에 따르면 archive.go 프로세스는 컨테이너 루트의 chroot가 아니라 공격자가 제어하는 ​​대상 경로의 부모 디렉토리의 chroot에 아카이브를 추출하고, 컨테이너 실행을 중지하지 않습니다(chroot는 경쟁 조건을 악용하기 위한 신호로 사용됩니다).

출처 : opennet.ru