リモートの SUSE Linux SLED15 / SLES15 ホストには、SUSE-SU-2022:23018-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  -2.0.5より前のバージョンのContainers / Podmanで、情報漏洩の脆弱性が見つかりました。非推奨のVarlink APIまたはDocker互換のREST APIを使用する際、複数のコンテナが短時間で作成されると、最初のコンテナから環境変数が後続のコンテナに漏洩します。後続のコンテナをコントロールできる攻撃者が、この欠陥を利用して、このような変数に保存されている機密情報へのアクセス権を取得する可能性があります。(CVE-2020-14370)

  - バージョン1.2.14以前のcontainerd (業界標準コンテナのランタイム) では、認証情報の漏洩の脆弱性があります。OCIイメージ形式またはDocker Image V2 Schema 2形式のコンテナイメージマニフェストに特定のイメージレイヤー (または外部レイヤーとして知られる) の場所を示すURLが含まれる場合、デフォルトのcontainerdリゾルバはそのURLを使用してダウンロードしようとします。1.3.0より前のv1.2.xでは、URLが存在するサーバーがレジストリ特有のHTTPヘッダーと共にHTTP 401ステータスコードを提示する場合、デフォルトのcontainerdリゾルバはその認証情報を提供します。攻撃者が、管理するWebサーバーからレイヤーの1つをフェッチするように指示するマニフェストを備えた公開イメージを発行し、ユーザーまたはシステムを誘導してイメージをプルさせる場合、そのイメージをプルするのに使用される認証情報を取得できます。場合によっては、これはユーザーのユーザー名および登録用パスワードである可能性があります。さらに、これはアカウント内の他のクラウドリソースへのアクセスを付与できるクラウド仮想インスタンスに添付された認証情報である可能性もあります。デフォルトのcontainerdリゾルバはcri-containerdプラグイン (Kubernetesにより使用可能) 、ctr開発ツール、およびそれに対して明示的にリンクされた他のクライアントプログラムにより使用されます。この脆弱性はcontainerd 1.2.14で修復されました。containerd 1.3以降は影響を受けません。containerd 1.3以降を使用している場合、影響を受けません。1.2シリーズ以前でcri-containerdを使用している場合、信頼できるソースからのみイメージをプルする必要があります。
    containerdの上に構築されたものの、デフォルトリゾルバ (Dockerなど) を使用していない他のコンテナランタイムは影響を受けません。(CVE-2020-15157)

  - Rootless コンテナが Podman で実行され、127.0.0.1 (リモートホストを含む) のソース IP アドレスですべてのトラフィックを受信します (リモートホストを含む) 。これは、デフォルトでローカルホスト (127.0.01) 接続を信頼し、認証を必要としないコンテナ化されたアプリケーションに影響を与えます。この問題は Podman1.8.0 以降に影響を与えます。(CVE-2021-20199)

  - 1.28.1より前のバージョンの「github.com/containers/storage」でデッドロックの脆弱性が見つかりました 。コンテナイメージが処理されるとき、各レイヤーは「tar」を使用して解凍されます。これらのレイヤーの 1 つが有効な「tar」アーカイブでない場合、これによりエラーが発生し、予期しない状況に至り、コードが tar の展開されたストリームを無期限に待機します。攻撃者がこの脆弱性を悪用して悪意のある画像を作成し、コンテナ/ストレージを使用するアプリケーションによってダウンロードおよび保存されると、サービス拒否 (DoS) につながるデッドロックを引き起こす可能性があります。(CVE-2021-20291)

  - chroot アイソレーションを使用してコンテナを構築する際に、Buildah に情報漏洩の欠陥が見つかりました。
    コンテナビルドで実行中のプロセス (Dockerfile RUN コマンドなど) は、親および祖父母のプロセスから環境変数にアクセスできます。CI/CD 環境のコンテナで実行する場合、環境変数には、Buildah 自体のみが使用するためにコンテナと共有された機密情報が含まれる可能性があります (例：コンテナレジストリ認証情報) 。 (CVE-2021-3602)

  - podman に欠陥が見つかりました。「podman machine」関数 (Podman プロセスを含む Podman 仮想マシンの作成および管理に使用) は、ホストシステムで「gvproxy」プロセスを生成します。「gvproxy」API は、ホストのすべての IP アドレスのポート 7777 でアクセスできます。そのポートがホストのファイアウォールで開いている場合、攻撃者は「gvproxy」API を使用してホスト上のポートを VM 内のポートに転送し、VM 上のプライベートサービスをネットワークにアクセスさせる可能性があります。この問題は、すべてのポートを VM に転送することで、ホストのサービスを中断するためにも使用される可能性があります。(CVE-2021-4024)

  - OCI Distribution Spec プロジェクトは、コンテンツの配布を容易にし、標準化する API プロトコルを定義しています。バージョン 1.0.0以前の OCI Distribution Specification では、プッシュおよびプル操作中にドキュメントのタイプを判断するために Content-Type ヘッダーのみが使用されていました。manifests と layers の両方のフィールドを含むドキュメントは、付随する Content-Type ヘッダーがない場合、マニフェストまたはインデックスとして解釈される可能性があります。Content-Type ヘッダーが同じダイジェストの 2 つのプルの間に変更された場合、クライアントは結果のコンテンツを異なる方法で解釈する可能性があります。OCI Distribution Specification が更新され、マニフェストまたはインデックスに存在する mediaType の値が、プッシュおよびプル操作中に使用される Content-Type ヘッダーと一致することが要求されるようになりました。仕様のバージョン 1.0.1に更新できない場合、レジストリからプルするクライアントは、Content-Type ヘッダーを信頼せず、manifests と layers の両方のフィールド、または manifests と config の両方のフィールドを含むあいまいなドキュメントを拒否する可能性があります。(CVE-2021-41190)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLED15 / SLES15 セキュリティ更新プログラム: conmon, libcontainers-common, libseccomp, podman (SUSE-SU-2022:23018-1)

medium Nessus プラグイン ID 172436

バージョン 1.0