singularityのこの更新プログラムでは、以下の問題が修正されています：

新バージョン3.6.3では、次のセキュリティの問題に対応しています：

  - CVE-2020-25039、boo#1176705

    Singularityアクションコマンド（run、shell、exec）をfakerootまたはユーザー名前空間のオプションで実行すると、Singularityによりコンテナイメージが一時サンドボックスディレクトリに抽出されます。一時ディレクトリのアクセス許可が安全でないため、システムへのアクセス権があるすべてのユーザーが画像のコンテンツを読み取ることができます。さらに、画像に誰でも書き込めるファイルまたはディレクトリが含まれている場合、ユーザーが任意のコンテンツを実行中のコンテナに注入できます。 

  - CVE-2020-25040、boo#1176707

    コンテナのビルド操作につながるSingularityコマンドが実行されると、システムにアクセスできるユーザーがビルド中にイメージのコンテンツを読み取ることができます。また、誰でも書き込めるファイルまたはディレクトリが画像に含まれている場合、ユーザーが任意のコンテンツを実行中のビルドに注入できます。これにより、特定の状況では、ビルド中またはビルドされたコンテナの実行時に任意のコードが実行される可能性があります。 

新バージョン3.6.2、新機能：

- 非対話型ワークフローのsingularity deleteに--forceオプションを追加します。

- FORTIFY_SOURCE=2を使用したコンパイルをサポートし、fstack-protectorを有効にしてpieモードで構築します

  - デフォルト/動作を変更しました

    - singularity deleteについて、現在のアーキテクチャにデフォルト設定されます。

  - バグ修正

    - singularity deleteコマンドについて、現在のリモートを考慮します。

    - rwを（noop）bindオプションとして許可します。

    - オーバーレイマウントの回帰を処理する機能を修正します。

    - LD_LIBRARY_PATH環境オーバーライドの回帰を--nv/--rocmで修正します。

    - singularity engine内の環境変数の重複を修正します。

    - unsquashfs 3.4を使用したrootless抽出によるエラーを回避するために、unsquashfsに対して-user-xattrsを使用します 

    - 3.6 CWD動作の--no-homeメッセージを修正します。

    - キャッシュdirの親がアクセスできない場合でも失敗しません。

    - Go 1.15 Ctty処理のテストを修正します。

    - ARM64のテスト画像に関する追加の問題を修正します。

    - FUSE e2eテストを修正し、コンテナssh_configを使用します。

    - オーバーレイ画像にupperとworkが存在するために必要なアドバイザリメッセージr.e.を提供します。

    - squashfs gzipチェックでsquashfsのメモリとプロセッサの制限を使用します。

    - ビルド宛先パスが空の文字列ではないことを保証します。CWDを上書きしません。

    - レガシー/環境ファイルを解釈する際にPATHの設定を解除しません。

検出

openSUSEセキュリティ更新プログラム：singularity（openSUSE-2020-1497）

high Nessus プラグイン ID 140727

バージョン 1.4