보안 게시판

이 문서에서는 VMware 및 베어메탈용 Distributed Cloud(소프트웨어 전용)의 보안 게시판을 설명합니다. 이 문서의 게시판은 2026년 6월 1일부터 시작됩니다. 2026년 6월 1일 이전 날짜의 이러한 제품에 대한 게시판을 보려면 GKE 보안 게시판을 참고하세요.

GCP-2026-051

게시: 2026년 7월 31일

참조: CVE-2026-50195, CVE-2026-53488, CVE-2026-53492, CVE-2026-53489, CVE-2026-47262

VMware

설명

심각도

containerd (GDC 컨테이너 런타임)에서 다음과 같은 취약점이 발견되었습니다. 이러한 취약점을 통해 포드를 만들 수 있는 권한이 있는 공격자는 Kubernetes 보안 경계를 우회하고 호스트 손상, 캐시 포이즈닝, 서비스 거부 공격을 실행할 수 있습니다. 이러한 취약점은 containerd의 컨텍스트에서 매우 중요하지만 이를 악용하기 위해 포드를 만들 수 있는 클러스터 권한이 필요하므로 GDC (소프트웨어 전용) 취약점 분류에 따라 높음으로 간주됩니다. CVE-2026-50195 (위험): containerd의 CRI 체크포인트 가져오기 프로세스가 이미지 참조를 검증하지 못합니다. 포드를 만들 수 있는 권한이 있는 공격자는 조작된 체크포인트 이미지를 사용하여 노드의 로컬 이미지 캐시를 포이즈닝하여 다른 포드가 악성 이미지를 사용하도록 할 수 있습니다. CVE-2026-53488 (위험): CRI 플러그인이 검증 없이 이미지 구성에서 컨테이너로 라벨을 전파합니다. 이로 인해 호스트에서 임의의 명령어가 실행될 수 있습니다. CVE-2026-53492 (위험): CRI 구현이 컨테이너 복원 중에 컨테이너 기기 인터페이스 (CDI) 주석을 부적절하게 신뢰합니다. 이를 통해 공격자는 임의의 CDI 구성 (예: 호스트 마운트 및 기기 노드)을 복원된 컨테이너에 삽입하여 리소스 할당 및 기기 플러그인 적용을 우회할 수 있습니다. CVE-2026-53489 (높음): CRI 플러그인이 심볼릭 링크된 경로를 검증하지 않고 container.log를 복원하므로 공격자가 kubectl 로그를 통해 임의의 호스트 파일을 읽을 수 있습니다. CVE-2026-47262 (보통): containerd의 취약점을 통해 악의적으로 조작된 이미지가 containerd 프로세스의 메모리 소진 (DoS)을 일으킬 수 있습니다. 이러한 취약점은 Container-Optimized OS 및 Ubuntu 노드 이미지를 사용하는 모든 GDC (소프트웨어 전용) 구성에 영향을 미칩니다. 어떻게 해야 하나요? VMware용 GDC 소프트웨어 전용의 경우 다음 패치에 취약점 수정사항이 포함됩니다. 1.34.800 1.33.1100

높음

베어메탈

설명

심각도

containerd (GDC 컨테이너 런타임)에서 다음과 같은 취약점이 발견되었습니다. 이러한 취약점을 통해 포드를 만들 수 있는 권한이 있는 공격자는 Kubernetes 보안 경계를 우회하고 호스트 손상, 캐시 포이즈닝, 서비스 거부 공격을 실행할 수 있습니다. 이러한 취약점은 containerd의 컨텍스트에서 매우 중요하지만 이를 악용하기 위해 포드를 만들 수 있는 클러스터 권한이 필요하므로 GDC (소프트웨어 전용) 취약점 분류에 따라 높음으로 간주됩니다. CVE-2026-50195 (위험): containerd의 CRI 체크포인트 가져오기 프로세스가 이미지 참조를 검증하지 못합니다. 포드를 만들 수 있는 권한이 있는 공격자는 조작된 체크포인트 이미지를 사용하여 노드의 로컬 이미지 캐시를 포이즈닝하여 다른 포드가 악성 이미지를 사용하도록 할 수 있습니다. CVE-2026-53488 (위험): CRI 플러그인이 검증 없이 이미지 구성에서 컨테이너로 라벨을 전파합니다. 이로 인해 호스트에서 임의의 명령어가 실행될 수 있습니다. CVE-2026-53492 (위험): CRI 구현이 컨테이너 복원 중에 컨테이너 기기 인터페이스 (CDI) 주석을 부적절하게 신뢰합니다. 이를 통해 공격자는 임의의 CDI 구성 (예: 호스트 마운트 및 기기 노드)을 복원된 컨테이너에 삽입하여 리소스 할당 및 기기 플러그인 적용을 우회할 수 있습니다. CVE-2026-53489 (높음): CRI 플러그인이 심볼릭 링크된 경로를 검증하지 않고 container.log를 복원하므로 공격자가 kubectl 로그를 통해 임의의 호스트 파일을 읽을 수 있습니다. CVE-2026-47262 (보통): containerd의 취약점을 통해 악의적으로 조작된 이미지가 containerd 프로세스의 메모리 소진 (DoS)을 일으킬 수 있습니다. 이러한 취약점은 Ubuntu 노드 이미지를 사용하는 모든 GDC (소프트웨어 전용) 구성에 영향을 미칩니다. 어떻게 해야 하나요? 베어메탈용 GDC 소프트웨어 전용의 경우 다음 패치에 취약점 문제가 포함됩니다. 1.34.800 1.33.1100

높음