Amazon Linux 2: containerd (ALASECS-2023-026)

medium Nessus プラグイン ID 185919

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている containerd のバージョンは 1.4.6-7 より前のものです。したがって、ALAS2ECS-2023-026 のアドバイザリに記載されている脆弱性の影響を受けます。

- OCI Distribution Spec プロジェクトは、コンテンツの配布を容易にし、標準化する API プロトコルを定義しています。バージョン 1.0.0以前の OCI Distribution Specification では、プッシュおよびプル操作中にドキュメントのタイプを判断するために Content-Type ヘッダーのみが使用されていました。manifests と layers の両方のフィールドを含むドキュメントは、付随する Content-Type ヘッダーがない場合、マニフェストまたはインデックスとして解釈される可能性があります。Content-Type ヘッダーが同じダイジェストの 2 つのプルの間に変更された場合、クライアントは結果のコンテンツを異なる方法で解釈する可能性があります。OCI Distribution Specification が更新され、マニフェストまたはインデックスに存在する mediaType の値が、プッシュおよびプル操作中に使用される Content-Type ヘッダーと一致することが要求されるようになりました。仕様のバージョン 1.0.1に更新できない場合、レジストリからプルするクライアントは、Content-Type ヘッダーを信頼せず、manifests と layers の両方のフィールド、または manifests と config の両方のフィールドを含むあいまいなドキュメントを拒否する可能性があります。(CVE-2021-41190)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。