Oracle Linux 8: kubernetes (ELSA-2022-10036)

high Nessus プラグイン ID 168283

概要

リモートのOracle Linuxホストに、1つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Oracle Linux 8 ホストに、ELSA-2022-10036 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- ユーザーがコントロールプレーンネットワークの安全なエンドポイントにアクセスできる可能性があります。Kubernetes クラスターが影響を受けるのは、信頼できないユーザーがノードオブジェクトを変更し、プロキシリクエストを送信できる場合のみです。Kubernetes はノードプロキシをサポートしています。これにより、kube-apiserver のクライアントは、Kubelet のエンドポイントにアクセスして、ポッドへの接続を確立したり、コンテナログを取得したりすることができます。Kubernetes はすでにノードのプロキシアドレスを検証していますが、kube-apiserver のバグにより、この検証をバイパスすることが可能でした。この検証をバイパスすると、API サーバーのプライベートネットワークへのノード宛ての認証済みリクエストが可能になる場合があります。
(CVE-2022-3294)

- 1 つのタイプの名前空間付きカスタムリソースをクラスター全体で一覧表示または監視する権限があるユーザーは、認証なしで同じ API グループの異なるタイプのカスタムリソースを読み取ることができます。次のすべてが true の場合、クラスターがこの脆弱性の影響を受けます。1. 2 つ以上の CustomResourceDefinitions が同じ API グループを共有しています。2. ユーザーには、カスタムリソースの 1 つを一覧表示または監視する権限があります。3. 同じユーザーは、同じ API グループの別のカスタムリソースを読み取る権限がありません。(CVE-2022-3162)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

影響を受けるパッケージを更新してください。

参考資料

https://linux.oracle.com/errata/ELSA-2022-10036.html

プラグインの詳細

深刻度: High

ID: 168283

ファイル名: oraclelinux_ELSA-2022-10036.nasl

バージョン: 1.4

タイプ: local

エージェント: unix

公開日: 2022/11/29

更新日: 2023/3/21

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: High

基本値: 9

現状値: 6.7

ベクトル: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C

CVSS スコアのソース: CVE-2022-3294

CVSS v3

リスクファクター: High

基本値: 8.8

現状値: 7.7

ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:oracle:linux:olcne-api-server, p-cpe:/a:oracle:linux:olcne-gluster-chart, p-cpe:/a:oracle:linux:olcne-grafana-chart, p-cpe:/a:oracle:linux:olcne-istio-chart, p-cpe:/a:oracle:linux:olcne-metallb-chart, p-cpe:/a:oracle:linux:olcne-nginx, p-cpe:/a:oracle:linux:olcne-oci-ccm-chart, p-cpe:/a:oracle:linux:olcne-olm-chart, p-cpe:/a:oracle:linux:olcne-prometheus-chart, p-cpe:/a:oracle:linux:olcne-utils, p-cpe:/a:oracle:linux:olcnectl, cpe:/o:oracle:linux:8, p-cpe:/a:oracle:linux:kubeadm, p-cpe:/a:oracle:linux:kubectl, p-cpe:/a:oracle:linux:kubelet, p-cpe:/a:oracle:linux:olcne-agent

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2022/11/29

脆弱性公開日: 2022/11/29

参照情報

CVE: CVE-2022-3162, CVE-2022-3294