Podman rootless 컨테이너, Copy Fail 취약점으로부터 안전할까?
by DD
2개월 전
조회수 6
Copy Fail 취약점을 통해 Podman rootless 컨테이너 내에서 root 권한 획득 가능성이 제기됨
Podman의 rootless 컨테이너는 사용자 네임스페이스(User Namespaces)를 활용하여 보안성을 강화하지만, 커널 취약점에는 취약함
--security-opt=no-new-privileges 및 --cap-drop=all 옵션을 통해 공격 범위를 제한할 수 있음
MicroVM 기반 컨테이너 런타임(libkrun, gVisor)과 같은 추가적인 보안 계층(Security Layer) 도입 필요성이 강조됨
Copy Fail 취약점의 심각성
Copy Fail 취약점(CVE-2026-31431)은 로컬 권한이 없는 사용자가 root 권한을 획득할 수 있게 한다. 특히, Podman rootless 컨테이너 환경에서도 이 취약점이 작동하여 컨테이너 내 root 쉘 접근을 가능하게 한다. 이는 컨테이너화된 서비스, 개발 환경, CI/CD 작업 등에 심각한 위협이 될 수 있으며, 데이터 격리 아키텍처(Data Isolation Architecture)를 무력화할 수 있다.
Podman Rootless 컨테이너의 보안 특징
Podman은 rootless 컨테이너를 위해 사용자 네임스페이스를 활용하여 호스트 시스템의 root 권한으로부터 컨테이너 프로세스를 격리한다. 또한, 리눅스 역량(Capabilities)을 사용하여 컨테이너 내에서 필요한 권한을 세분화하여 부여한다. 하지만, 이러한 보안 기능에도 불구하고, 커널 취약점은 rootless 컨테이너의 보안 경계를 무너뜨릴 수 있으며, Copy Fail과 같은 취약점을 통해 root 권한 획득이 가능하다.
