Kubernetes & 컨테이너 런타임 볼륨 마운트 컨테이너 탈출(Escape) 취약점 (CVE-2026-18204)

1. 워커 노드 컨테이너 런타임 업그레이드 관리형 쿠버네티스(GKE, EKS, AKS)의 노드 풀 이미지를 최신 보안 패치 버전으로 롤링 업데이트하십시오.

2. Kubernetes 보안 정책(PSA)으로 권한 제한 신뢰할 수 없는 워크로드에서 `hostPath` 및 특권 컨테이너 생성을 차단하십시오:

apiVersion: v1
kind: Namespace
metadata:
  name: production-workloads
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/audit: restricted

취약점 발생 원리 (Symlink Race Condition Container Escape) 컨테이너 런타임이 볼륨 서브패스(`subPath`)를 마운트할 때 심볼릭 링크 검증과 실제 마운트 시스템 콜 사이의 시점 차이(TOCTOU, Time-of-Check to Time-of-Use)를 악용합니다.

• 컨테이너 내부를 장악한 공격자가 마운트 경로를 호스트의 /etc/crontab 또는 /proc/sys/kernel/core_pattern으로 치환하여 워커 노드 호스트 전체 권한을 탈취할 수 있습니다.