リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2023:1566-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - containerd は、オープンソースのコンテナランタイムです。ユーザーがホストでメモリを使い果たす可能性がある containerd の CRI 実装にバグが見つかりました。CRI ストリームサーバーでは、TTY がリクエストされた場合、ターミナルサイズ変更イベントを処理するために goroutine が起動されます。欠陥のあるコマンドなどのためにユーザーのプロセスが起動に失敗した場合、goroutine がレシーバーなしで送信するための待機でスタックし、メモリリークが発生します。
    Kubernetes と crictl はどちらも、containerd の CRI 実装を使用するように構成でき、ストリームサーバーはコンテナ IO 処理のために使用されます。このバグは、containerd 1.6.12 および 1.5.16 で修正されました。この問題を解決するには、ユーザーがこれらのバージョンに更新する必要があります。アップグレードできないユーザーは、信頼できるイメージとコマンドのみが使用され、信頼できるユーザーのみが実行中のコンテナでコマンドを実行する権限を持つようにする必要があります。(CVE-2022-23471)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES12のセキュリティ更新プログラム: containerd (SUSE-SU-2023:1566-1)

medium Nessus プラグイン ID 173411

バージョン 1.0