リモートのRedhat Enterprise Linux 7ホストにインストールされているパッケージは、RHSA-2020: 2992アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - cri-o: conmonをOOM Killerでkillした後、インフラコンテナが再びsystemdの親になる（CVE-2019-14891）

  - openshift/console: 細工されたURLを通じたエラーページでのテキストインジェクション（CVE-2020-10715）

  - nodejs-minimist: プロトタイプ汚染を使用すると、コンストラクターや__proto__ペイロードを使用してObject.prototypeのプロパティを追加したり変更したりすることが可能です（CVE-2020-7598）

  - kubernetes: apiserver_request_totalで無制限の「クライアント」ラベルを使用するとメモリーを使い果たす可能性がある（CVE-2020-8552）

  - kubernetes: 攻撃パケットを介して到達可能なノードのローカルホストサービス（CVE-2020-8558）

  - proglottis/gpgme: コンテナイメージのプル中のGPGMEバインディングにおけるメモリ解放後使用（Use After Free）（CVE-2020-8945）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

RHEL 7: OpenShift Container Platform 3.11（RHSA-2020: 2992)

high Nessus プラグイン ID 139006

バージョン 1.10