CVE-2024-21626 runc 취약점 - 컨테이너 탈출 가능성과 대응

취약점 개요

runc(컨테이너 런타임)의 file descriptor 처리 로직 결함으로 컨테이너에서 호스트로 탈출 가능한 취약점

https://nvd.nist.gov/vuln/detail/cve-2024-21626

NVD - cve-2024-21626

영향 범위

• runc < 1.1.12
• Docker Engine < 25.0.2
• Kubernetes 사용 환경

공격 시나리오

공격자가 특수하게 조작된 컨테이너 이미지를 실행하면, runc의 /proc/self/exe 처리 과정에서 호스트 파일시스템에 접근 가능함

환경 점검

1. 버전 확인

   runc --version
   docker version

2. 취약점 여부 판단

• 프로덕션: runc 1.1.10 (취약)
• 스테이징: runc 1.1.12 (안전)

3. 긴급도 평가

• 외부 이미지 사용: 제한적
• 멀티테넌시: 없음
• 우선순위: High (1주 내 패치)

대응 조치

• 신뢰할 수 없는 이미지 실행 금지
• 컨테이너 권한 최소화 (--cap-drop)
• 네트워크 격리 강화

패치 적용

# runc 업그레이드
apt-get update
apt-get install runc=1.1.12

# Docker 업그레이드
apt-get install docker-ce=25.0.2

검증

• 기존 컨테이너 재시작 후 동작 확인
• 보안 스캔 도구로 재검증

결론

• 컨테이너 = 완벽한 격리 X
• 런타임 업데이트 모니터링 필수
• 최소 권한 원칙 준수