리눅스 배포판 오마키(Omarchy)의 기본 도커(Docker) 설정에 심각한 보안 취약점이 존재하여, 사용자 세션 내 모든 프로세스가 비밀번호나 sudo 없이 루트(root) 권한을 탈취할 수 있었던 것으로 드러났습니다. 이는 일반 사용자 애플리케이션이 침해당할 경우, 즉시 전체 시스템이 위험에 노출될 수 있음을 의미하는 중대한 문제입니다. 해당 취약점은 오마키 4.0.1 버전에서 패치되었으므로, 이전 버전을 사용하는 모든 사용자는 즉시 업데이트해야 합니다.
문제의 핵심은 오마키가 기본 사용자 계정을 리눅스 도커 그룹(Linux docker group)의 멤버로 설정했다는 점입니다. 도커 데몬(Docker daemon)은 루트 권한으로 실행되며 `/var/run/docker.sock` 소켓을 통해 통신하는데, 도커 그룹의 멤버는 이 소켓에 접근할 수 있습니다. 도커 자체 문서에서도 명시하듯이, 도커 그룹에 속한 사용자는 사실상 루트 권한을 가지게 됩니다. 이 취약점을 이용하면 일반 사용자 프로세스가 도커 데몬에게 루트 권한으로 컨테이너를 실행하고, 호스트 파일 시스템의 임의 부분을 마운트하여 루트 권한으로 파일에 접근하거나 코드를 실행하도록 지시할 수 있었습니다. 이는 AI 코딩 에이전트, 웹 브라우저, 편집기, 개발 도구 등 사용자 세션 내 거의 모든 프로세스에 영향을 미쳤습니다.
더욱이 이 설정은 사용자가 명시적으로 선택하는 '옵트인(opt-in)' 방식이 아니라, 기본적으로 적용되는 '옵트아웃(opt-out)' 방식이었습니다. 많은 사용자는 운영체제의 기본 설정이 안전하다고 가정하기 때문에, 이러한 보안 트레이드오프(trade-off)가 사용자에게 명확히 설명되지 않은 점이 문제로 지적됩니다. 오마키의 문서에는 '루트가 아닌 일반 사용자로 도커를 실행하기 위한 사용자 그룹 변경'이라고 설명되어 있었으나, 이는 실제 보안 함의와는 정반대의 오해를 불러일으킬 수 있었습니다. 이번 사건은 개발자 대상 배포판에서 보안 기본 설정의 중요성을 다시 한번 일깨우는 계기가 되었습니다. 개발자 시스템은 종종 편의를 위해 보안 장치를 해제하고 중요한 자격 증명을 저장하는 경우가 많아 고가치 표적이 되기 쉽습니다. 저자는 대안으로 데몬 없이 사용자 네임스페이스에서 컨테이너를 실행하는 포드맨(Podman) 사용을 권장했습니다.