0xNews - MS 애저에 도커 컨테이너 버그로 인해 문제 발생 경고

Intezer Lab 연구팀에서 일부 내용 공개

이번 버그는 공격자가 권한 상승 후 호스팅하는데 사용되는 도커 Docker 컨테이너를 탈출하는데 사용

마이크로소프트 애저 Azure 파운데이션 Founction 의 패치되지 않은 취약점으로 인해 발생

컨테이너 호스트에서 도달할 수 있는 높은 위치에 대해 호스트 자체가 여전히 다른 방어 경계에 의해 보호되기 때문에 취약점이 애저 파운데이션 사용자에게 보안 영향을 미치지 않는다고 분석

MS 애저 파운데이션은 아마존 람다 AWS Lambda 와 유사

사용자가 인프라를 명시적으로 프로비저닝 혹은 관리할 필요 없는 이벤트 트리거 코드를 실행할 수 있는 동시에 수요에 따라 컴퓨팅과 리소스를 확장 혹은 할당할 수 있도록 하는 서버리스 솔루션

데모 동영상

도커를 혼합하여 통합하면 개발자가 클라우드 혹은 온 프레미스에서 애저 파운데이션을 쉽게 배포하고 실행 가능

트리거 코드는 애저 함수를 호출하도록 구성된 이벤트(ex: HTTP request)

먼저 HTTP 트리거를 만들어 함수 컨테이너에 대해 접근 확보 후 root 권한으로 사용하는 있는 프로세스에 속하는 소켓을 검색

Mesh 바이너리와 관련된 권한 있는 프로세스 중 하나가 앞서 언급된 파운데이션 root 권한을 실행하는 앱 사용자에게 악용될 수 있는 취약점이 포함되는 것을 확인

Mesh 바이너리 자체에는 그 목적을 설명한 문서가 거의 존재하지 않음

하지만 이번 문제점 분석을 통해 연구팀에서는 리버스 엔지니어링하고 권한 상승을 달성하는데 사용되는 공개 도커 이미지에서 이에 대한 참조점을 확인

현재 공개 도커 이미지는 삭제

마지막 단계에서 컨테이너에 -privileged 플래그를 사용하여 할당된 확장 권한은 도커 컨테이너를 탈출

호스트에서 임의의 명령을 실행하기 위해 남용

도커 컨테이너에서 탈출 후 호스트 접속 화면

이번 조사 결과를 토대로 연구팀은 GitHub 에 PoC 를 공개하여 도커 호스트 환경 조사할 수 있도록 공개 결정

GitHub 의 PoC 코드 공개 사이트 링크

인스턴스 내 존재하는 취약점으로 인해 클라우드 사용자와 관리자, 조직과 기업의 통제를 벗어나 위협이 될 수 있음을 경고

관리자는 이런 프로덕션 환경에서 승인되지 않은 코드를 실행할 때

이를 탐지하고 종료할 수 있는 보호조치를 마련하는 것이 중요

이러한 제로 트러스트 사고방식 Zero Trust mentality 은 MS 에서도 반영

openLab