Linux 커널 cgroups v1 컨테이너 탈출 및 권한 상승 취약점 (CVE-2022-0492)

1. 커널 패치 적용

가장 확실한 해결책은 취약점이 해결된 최신 Linux 커널 버전으로 업데이트하는 것입니다.

# Ubuntu / Debian 계열
sudo apt-get update && sudo apt-get install --only-upgrade linux-image-generic

# RHEL / CentOS / Rocky Linux 계열
sudo dnf update kernel

2. 임시 완화 조치 (Mitigation)

커널 업데이트를 즉시 수행하기 어려운 경우, 아래의 보안 설정을 통해 공격 표면을 차단할 수 있습니다.

• 비특권 컨테이너 실행 (Non-root User): 컨테이너 내부 프로세스를 root가 아닌 일반 사용자 권한으로 실행합니다.
• Seccomp 프로필 적용: Docker 및 Kubernetes의 기본 Seccomp 프로필은 unshare 및 clone 시스템 콜을 차단하여 컨테이너 내에서 새로운 사용자 네임스페이스를 생성하는 것을 방지합니다.
• AppArmor / SELinux 활성화: 컨테이너가 /sys/fs/cgroup 경로를 쓰기 권한으로 마운트하지 못하도록 제한합니다.
• Read-Only cgroup 마운트: 컨테이너 실행 시 cgroup 디렉토리를 읽기 전용으로 마운트합니다.

  docker run --read-only ...

본 취약점(CVE-2022-0492)은 Linux 커널의 kernel/cgroup/cgroup-v1.c 내 cgroup_release_agent_write 함수에서 발생하는 권한 검증 미흡(CWE-287, CWE-862) 취약점입니다.

cgroups v1의 release_agent 기능은 제어 그룹(cgroup) 내의 모든 프로세스가 종료될 때 커널이 특정 사용자 정의 바이너리(에이전트)를 실행하도록 지원합니다. 이 에이전트는 호스트의 최고 권한(root)으로 실행되는 특성을 가집니다.

정상적인 상황에서는 관리자 권한이 있는 프로세스만 release_agent 경로를 수정할 수 있어야 하지만, 취약한 커널 버전에서는 적절한 권한 검증이 누락되어 컨테이너 내부의 프로세스가 release_agent 파일을 직접 수정할 수 있는 허점이 존재합니다. 공격자가 컨테이너 내에서 release_agent에 악성 스크립트 경로를 등록하고 cgroup을 강제로 비우면, 호스트 커널이 해당 스크립트를 호스트의 root 권한으로 실행하게 되어 완벽한 컨테이너 탈출(Container Escape) 및 권한 상승이 가능해집니다.

특히 이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 있으며, EPSS 점수가 0.94에 달할 정도로 실제 공격에 활발히 악용되고 있어 신속한 조치가 필요합니다.