Dirty Pipe(CVE-2022-0847) 취약점으로부터 거의 무사히 살아남기

Linux 커널의 심각한 취약점인 **Dirty Pipe(CVE-2022-0847)**가 발견되었다. 이 취약점은 사용자가 쓰기 권한 없이도 파일 시스템의 모든 파일을 임시로 덮어쓸 수 있게 하며, 특히 setuid binary를 조작해 루트 권한을 탈취할 수 있는 위험이 있다.

Replit은 이미 no new privs 설정을 활성화하여 setuid를 통한 권한 상승을 차단했으며, 컨테이너의 제한된 capabilities를 통해 추가적인 시스템 변경을 방지하는 defense in depth를 구축하고 있었다.

하지만 실제 위협은 다른 곳에 있었다. Linux 컨테이너(Docker) 환경에서 page cache는 모든 컨테이너가 공유하므로, 공격자가 /bin/sh와 같은 공통 바이너리를 수정할 경우 동일한 머신에서 실행 중인 모든 사용자의 데이터가 탈취되거나 수정될 수 있었다.

Replit은 커널 패치를 통해 이 문제를 신속하게 해결했다. 다행히 보안 공고가 잘 조율되어 있어 큰 피해 없이 대응을 마칠 수 있었다.