[보안이슈] 도커 허브 라이브러리 사용 시 주의, 악성 이미지 다수 존재

※ 맨 아래 3줄 요약

 

도커 허브(Docker Hub)는 사람들이 자유롭게 도커 이미지를 검색하고 다운로드하거나 자신의 창작물을 업로드할 수 있는 클라우드 기반 컨테이너 라이브러리이다.

＃도커 허브: hub.docker.com

허브에서 배포되는 도커 이미지는 즉시 사용할 수 있는 코드, 애플리케이션이 포함된 컨테이너를 빠르게 만들 수 있는 템플릿이다. 그만큼 많은 사람들이 도커 허브에 의존하고 있다.

 

그런데 이런 도커허브에 공개되어있는 도커 허브 이미지 중 1600개 이상이 채굴기, 백도어로 사용될 수 있는 시크릿, DNS 하이재커, 웹사이트 리다이렉터를 포함하고 있다고 밝혀졌다.

이러한 악성 이미지는 인기 있고 신뢰할 수 있는 프로젝트명으로 위장하여 배포되고 있었다. 이는 사용자들이 무심코 다운로드하도록 속이기 위한 의도로 보인다. (typosquatting)

 

제일 많이 발견된 것은 암호화폐 채굴기이다. 그다음은 이미지가 시크릿을 포함하고 있는 경우인데, 시크릿의 종류는 SSH 키, AWS 크리덴셜, GitHub 토큰, NPM 토큰 등으로 다양했다.

이는 배포자의 실수로 이미지에 남겨진 채 업로드되었거나, 위협 행위자가 의도적으로 주입 후 업로드한 것으로 보인다.

- 해당 시크릿들을 컨테이너에 내장함으로서 컨테이너 배포 후 공격자가 액세스 할 수 있다.

- 예를들면, 공개 키를 원격 서버에 업로드 시 해당 개인 키 소유자가 백도어를 구현하는 것과 유사함.

- SSH를 통해 shell을 열고 명령을 수행할 수 있음.

 

도커 허브 라이브러리는 점점 커지고 있어 관리자가 모든 업로드를 면밀하게 조사할 수 없기에 많은 악성 이미지들이 존재한다. 이미지 사용 시 오타를 조심할 것. 알 수 없는 이미지 사용을 자제할 것을 권고한다.

 

 

참고 기사 링크 1 (BleepingComputer)

 

 

[3줄요약]

1. 도커 허브에 악성 이미지 다수 발견

2. 채굴기, 시크릿, DNS 하이재커, 웹 사이트 리다이렉터를 포함

3. 악성 행위자가 주입한 시크릿이 포함된 이미지 사용 시 백도어로서 사용될 수 있음