Amazon Linux AMI : containerd、docker (ALAS-2021-1551)
medium Nessus プラグイン ID 155607
Language:
概要
リモートの Amazon Linux AMI ホストに、セキュリティ更新プログラムがありません。説明
リモートホストにインストールされているcontainerdのバージョンは1.4.6-7.11より前のものです。リモートホストにインストールされているdockerのバージョンは、20.10.7-5.76より前のものです。したがって、ALAS-2021-1551のアドバイザリに記載されている脆弱性の影響を受けます。- OCI Distribution Spec プロジェクトは、コンテンツの配布を容易にし、標準化する API プロトコルを定義しています。バージョン 1.0.0 以前の OCI Distribution Specification では、プッシュおよびプル操作中にドキュメントのタイプを判断するために Content-Type ヘッダーのみが使用されていました。manifests? と layers? の両方のフィールドを含むドキュメントは、付随する Content-Type ヘッダーがない場合、マニフェストまたはインデックスとして解釈される可能性があります。Content-Type ヘッダーが同じダイジェストの 2 つのプルの間に変更された場合、クライアントは結果のコンテンツを異なる方法で解釈する可能性があります。OCI Distribution Specification が更新され、マニフェストまたはインデックスに存在する mediaType の値が、プッシュおよびプル操作中に使用される Content-Type ヘッダーと一致することが要求されるようになりました。仕様のバージョン 1.0.1 に更新できない場合、レジストリからプルするクライアントは、Content-Type ヘッダーを信頼せず、manifests? と layers? の両方のフィールド、または manifests? と config? の両方のフィールドを含むあいまいなドキュメントを拒否する可能性があります。
(CVE-2021-41190)
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。
ソリューション
「yum update containerd」を実行してシステムを更新してください。「yum update docker」を実行してシステムを更新してください。
参考資料
プラグインの詳細
深刻度: Medium
ID: 155607
ファイル名: ala_ALAS-2021-1551.nasl
バージョン: 1.3
タイプ: local
エージェント: unix
公開日: 2021/11/18
更新日: 2021/11/23
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 1.6
CVSS v2
リスクファクター: Medium
基本値: 4
現状値: 3
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:N/I:P/A:N
CVSS スコアのソース: CVE-2021-41190
CVSS v3
リスクファクター: Medium
基本値: 5
現状値: 4.4
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:amazon:linux:containerd, p-cpe:/a:amazon:linux:containerd-debuginfo, p-cpe:/a:amazon:linux:containerd-stress, p-cpe:/a:amazon:linux:docker, p-cpe:/a:amazon:linux:docker-debuginfo, cpe:/o:amazon:linux
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2021/11/17
脆弱性公開日: 2021/11/17
参照情報
CVE: CVE-2021-41190
ALAS: 2021-1551