CVE-2022-39206 in Onedev
요약
\~에 의해 VulDB • 2026. 06. 13.
Onedev는 CI/CD 및 칸반을 지원하는 오픈 소스 자체 호스팅 Git 서버입니다. Docker 기반 작업 실행자를 사용할 때, Docker 소켓(예: Linux의 /var/run/docker.sock)이 각 Docker 단계에 마운트됩니다. 프로젝트에서 CI/CD 작업을 정의하고 트리거할 수 있는 사용자는 이를 통해 호스트 머신의 Docker 데몬을 제어할 수 있습니다. 이는 Docker 컨테이너를 탈출하고 대부분의 경우 호스트 시스템에서 루트 권한을 획득하는 데 사용될 수 있으므로 알려진 위험한 패턴입니다. 이 문제로 인해 일반(비관리자) 사용자가 잠재적으로 OneDev 인스턴스의 빌드 인프라를 장악할 수 있습니다. 공격자는 계정(또는 계정 등록 가능)을 가지고 있으며 프로젝트를 생성할 권한이 있어야 합니다. code.onedev.io에는 원격 공격자가 이를 악용할 수 있는 적절한 전제 조건이 존재하므로, Docker Hub에 빌드 및 푸시되는 Docker 이미지에 악성 코드를 주입하는 등의 방식으로 OneDev 자체의 빌드를 하이재킹하는 데 사용되었을 수 있습니다. 앞서 설명한 대로 이로 인해 영향력이 증가합니다. 사용자는 7.3.0 이상으로 업그레이드할 것을 권장합니다. 이 문제에 대한 알려진 우회 방법은 없습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.