したがって、ALAS2023-2023-374 のアドバイザリに記載されている脆弱性の影響を受けます。

  - containerd は、オープンソースのコンテナランタイムです。コンテナ内に補助グループが適切に設定されていないバージョン 1.6.18 および 1.5.18 より前の containerd にバグが見つかりました。攻撃者がコンテナに直接アクセスでき、補助グループのアクセス権を操作する場合、補助グループのアクセス権を使用して、プライマリグループの制限をバイパスし、機密情報へのアクセス権を取得したり、そのコンテナでコードを実行したりする可能性があります。containerd クライアントライブラリを使用するダウンストリームアプリケーションも影響を受ける可能性があります。このバグは、containerd v1.6.18 および v.1.5.18 で修正されました。この問題を解決するには、ユーザーがこれらのバージョンに更新して、コンテナを再作成する必要があります。
    containerd のクライアントライブラリを使用するダウンストリームアプリケーションに依存するユーザーは、別のアドバイザリおよび指示についてそのアプリケーションをチェックする必要があります。回避策として、「USER $USERNAME」Dockerfile 命令が使用されていないことを確認してください。代わりに、コンテナエントリポイントを「ENTRYPOINT [su, -, user]」と同様の値に設定し、「su」が補助グループを適切に設定できるようにします。(CVE-2023-25173)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : containerd、containerd-stress (ALAS2023-2023-374)

high Nessus プラグイン ID 182444

バージョン 1.1