[CVE] CVE-2026-58053 (CVSS 9.9 · 치명적) [CWE-269]

핵심 요약

Gitea act_runner의 Docker 백엔드에서 CVE-2026-58053(CVSS 9.9) 컨테이너 탈출 취약점이 발견되었습니다. 이 취약점은 워크플로의 `container.options` 문자열이 Docker `HostConfig`로 전달될 때, `privileged: false` 설정에도 불구하고 `--pid=host`, `--cap-add`, `--security-opt`와 같은 위험한 옵션이 병합되어 호스트 탈출을 가능하게 합니다. 이는 공격자가 컨테이너 환경에서 호스트 시스템에 루트 권한으로 접근하는 MITRE ATT&CK T1611 - Escape to Host 전술을 활용할 수 있음을 의미합니다. IT 감사인은 컨테이너 환경의 보안 설정 및 워크플로 실행 권한 관리의 적정성을 면밀히 검토하여 잠재적인 호스트 시스템 침해 리스크를 식별해야 합니다.

💡 개선 권고안

• ✔기술적 조치Gitea act_runner를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하여 CVE-2026-58053 취약점을 해결할 것을 권고함.
• ✔기술적 조치Docker 컨테이너 실행 시 `seccomp`, `AppArmor` 또는 `SELinux`와 같은 추가적인 보안 메커니즘을 적용하여 컨테이너의 권한을 최소화하고 호스트 시스템으로의 접근을 제한할 것을 권고함.
• ✔기술적 조치워크플로에서 `container.options`와 같이 Docker 컨테이너 설정에 영향을 미칠 수 있는 사용자 입력값에 대해 엄격한 유효성 검증 및 살균(sanitization) 절차를 구현하여 악의적인 옵션 주입을 방지할 것을 권고함.
• ✔관리적 조치컨테이너 환경 보안 정책을 수립하고, 컨테이너 이미지 생성 및 배포, 워크플로 실행 권한 관리에 대한 명확한 가이드라인을 마련하여 임직원에게 교육 및 준수 여부를 주기적으로 점검할 것을 권고함.
• ✔관리적 조치Gitea act_runner 및 Docker 컨테이너 환경에 대한 정기적인 취약점 스캔 및 모의 해킹을 수행하고, 발견된 취약점에 대한 신속한 패치 및 보안 설정 강화 프로세스를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문