도커 탈출로 이용 가능한 MS Azure 취약점

도커(Dokcer)

도커는 응용 프로그램, 운영체제 등을 실행하기 위해 필요한 환경을 미리 구성하여 도커 파일 형태로 배포하여 해당 이미지를 통해 쉽고 빠르게 환경을 구성할 수 있게 해주는 오픈 소스 프로젝트이다. 예를 들어 개발자들 간에 프로젝트 진행을 위해 모두 같은 환경을 셋팅해야할 필요가 있을 때, 한 명이 시스템을 구성하고 도커파일 형태로 배포하면 해당 도커파일을 생성하여 프로젝트를 진행하는 모든 사람이 같은 환경으로 빠르게 셋팅하여 사용할 수 있다. 이렇게 생성된 환경을 컨테이너라고 하며 컨테이너는 마치 가상머신과 같이 독립적으로 작동한다. 다른 예로는 넥스트클라우드와 같은 NAS 서버를 생성한다고 할 때 Apache나 Nginx 등의 웹 서버와 동작에 필요한 여러 라이브러리들, 넥스트클라우드 동작 파일, DB 등을 모두 시스템에 설치하여 넥스트 클라우드가 동작할 수 있도록 구성해야 한다. 이 과정은 시간도 오래 걸리고 과정도 복잡하다. 하지만 도커를 사용한다면 미리 환경 세팅을 다 해놓은 넥스트 클라우드 도커 이미지, 넥스트 클라우드와 연동할 DB 이미지를 설치하여 서로 연동만 해주면 쉽게 환경 세팅이 끝나고 불필요한 셋팅과 설치 시간을 절약할 수 있다.

Docker 구조

 

애저(Azure)

애저는 클라우드 컴퓨팅 플랫폼으로 애플리케이션을 빌드, 실행, 관리 등을 수행할 수 있는 클라우드 환경을 제공하는 플랫폼이다. 종량제 사용으로 일정 트래픽, 자원을 사용할 경우 비용이 청구되는 형태로 결제가 이루어진다. 애저는 웹, 가상 컴퓨터, SQL 데이터베이스, 모바일 백엔드 등 다양한 개발 환경을 제공한다.

 

도커 탈출로 이용 가능한 MS Azure 취약점

사이버 보안 연구원인 파울 리트박(Paul Litvak)은 공격자가 권한을 상승시키고 호스팅하는 도커 컨테이너를 탈출하기 위해 사용할 수 있는 Azure의 패치되지 않은 취약점을 발견했다. 해당 취약점은 권한이 상승된 위치에서 컨테이너를 탈출하기는 하지만 Azure의 보호된 영역에 여전히 위치해 있기 때문에 다른 사용자에게는 전혀 영향을 줄 수 없다고 한다. 해당 취약점은 Azure의 Functions에서 발생한 취약점이며 Functions는 사용자가 인프라를 명시적으로 프로비저닝하거나 관리할 필요 없이 트리거 코드를 실행할 수 있는 동시에 수요에 따라 컴퓨팅 및 리소스를 확장 및 할당할 수 있도록 하는 서버리스 솔루션이다. 여기서 프로비져닝은 최적인 것을 찾기 위해 필요한 지식을 미리 준비해 놓고 요청에 맞게 공급하는 절차와 행위를 의미한다. 즉, 정책이나 서비스를 사용자에게 지원, 서포트 해주는 것을 의미한다. 트리거 코드는 특정 이벤트 발생시 처리할 코드를 작성하는 것으로 Azure Functions에서는 효율적인 트리거 패키지를 제공한다. 대표적으로 타이머 트리거가 있으며 타이머 트리거는 일정에 따라 원하는 함수를 실행시켜 시스템을 관리할 수 있다. 서버리스 솔루션은 애플리케션을 개발할 때 인프라 관리를 최소화하여 개발에 더욱 집중할 수 있게 만들어주는 솔루션이다.

현재 해당 취약점을 익스플로잇 하기위해 사용된 도커 이미지는 삭제된 상태이지만 해당 이미지를 이용하여 루트 권한의 앱을 사용할 수 있는 사용자에게 악용될 수 있는 도커 이미지라고 한다. 해당 이미지로 컨테이너 생성 과정 중 확장 권한 '-privileged' 옵션을 주면 도커 컨테이너를 탈출시키면서 호스트에서 임의의 명령을 실행할 수 있는 취약점이다.

보호된 영역에서 동작하여 치명적인 취약점은 아니었지만 중요한 점은 취약한 다른 서비스를 이용하여 공격을 행할 수 있다는 것이다.

 

도커 탈출로 이용 가능한 MS 애저 취약점 발견돼 - 데일리시큐 (dailysecu.com)

도커 탈출로 이용 가능한 MS 애저 취약점 발견돼 - 데일리시큐