컨테이너디 보안 릴리스 4종 공개, 이미지 풀 취약점 수정

컨테이너 런타임 컨테이너디(containerd)가 2026년 10월 13일 보안 패치 4종을 공개했습니다. 대상 버전은 2.4.2, 2.3.7, 2.2.10, 2.0.14입니다. 쿠버네티스와 도커가 컨테이너 실행 기반으로 쓰는 CNCF 졸업 프로젝트라, 운영 환경 상당수가 영향 범위에 들어갑니다. 수정된 취약점은 모두 이미지 풀(image pull) 경로에 몰려 있습니다.

공개된 권고는 다음과 같습니다.

• 호스트 디스크 소진(GHSA-hc94-p972-ch66): 이미지 풀 과정에서 레이어 스트림 크기를 제한하지 않는 결함입니다. 조작된 이미지나 악성 레지스트리로 호스트 디스크를 고갈시켜 쿠버네티스 노드를 응답 불능 상태로 만들 수 있습니다. 심각도는 Moderate이며 2.0.0부터 2.4.1까지 영향을 받습니다.
• 데몬 크래시(GHSA-8647-2jxj-p2rc): 신뢰할 수 없는 레지스트리가 조작한 Content-Length 헤더로 메모리 할당 패닉을 유발해 데몬을 중단시킬 수 있습니다. concurrent_layer_fetch_buffer 설정으로 병렬 레이어 받기를 켠 경우에만 발생합니다. 심각도 Moderate입니다.

두 권고에는 현재 공식 CVE가 할당되어 있지 않고, 이번 릴리스 노트에는 별도로 CVE-2026-95839가 함께 명시되어 있습니다. 이와 더불어 기본 seccomp 프로파일에서 허용 소켓 도메인을 화이트리스트로 좁히고, '..' 경로 구성요소가 들어간 이미지 레퍼런스를 거부하도록 하는 하드닝도 적용됐습니다.

심각도 등급 자체는 Moderate지만 운영 관점에서는 가볍게 볼 사안이 아니라고 봅니다. 노드 디스크를 채우거나 데몬을 죽이는 방식은 클러스터 가용성에 바로 영향을 주고, 외부 레지스트리나 사용자 제공 이미지를 당기는 환경일수록 노출면이 넓어지기 때문입니다. 패치 버전은 2.0.14, 2.2.10, 2.3.7, 2.4.2이며, 각자 쓰는 2.x 계열에 맞춰 올리면 됩니다.

🔗 https://github.com/containerd/containerd/releases

🔗 https://github.com/containerd/containerd/security/advisories/GHSA-hc94-p972-ch66