SUSE SLES15 セキュリティ更新 : buildah (SUSE-SU-2024:3186-1)
high Nessus プラグイン ID 206956
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2024:3186-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。バージョン 1.35.4 への更新:
* CVE-2024-3727 の更新 (bsc#1224117)
* go-jose CVE-2024-28180 を更新します
* ocicrypt および go-jose CVE-2024-28180 を更新します
バージョン 1.35.3 への更新:
* /etc/hosts および resolv.conf を適切に構成します
* buildah: resolv/hosts セットアップをリファクタリングします。
* 反映するために hostFile 変数の名前を変更
* 1.33 への CVE-2024-24786 protobuf
バージョン 1.35.1 への更新:
* CVE-2024-1753 コンテナエスケープの修正 (bsc#1221677)
- Buildah は cni のサポートを終了しました。代わりに netavark が必要です (bsc#1221243)
- 旧式を削除するには libcontainers-image と libcontainers-storage が必要です
- ルートのないネットワークには passt が必要 (poo#156955) Buildah は、slirp4netns からのルートのないネットワークのために passt/pasta に移動 (https://github.com/containers/common/pull/1846)
バージョン 1.35.0 への更新:
* c/common v0.58.0、c/image v5.30.0、c/storage v1.53.0 を更新します
* 適合性テスト: レイヤーブロブの末尾のゼロで破損しません
* マウントされた前のステージにコピーするための適合性テストを追加
* cgroups: c/common からのバージョンチェックを再利用
* containers/(common,image) のベンダーを更新します
* マニフェスト追加: --artifact なしでアーティファクトフラグを取得した場合にエラーを出します
* containers/common から再試行ロジックを使用します
* containers/(storage,image,common) のベンダー
* モジュール golang.org/x/crypto を v0.20.0 に更新
* re: Total Success タスク名のコメントを追加
* --setuid の tests: skip_if_no_unshare(): のチェック
* ビルド --pull=false を適切に処理します
* モジュール go.etcd.io/bbolt を v1.3.9 に更新します
* モジュール github.com/opencontainers/image-spec を v1.1.0 に更新します
* ビルド --all-platforms: 一部のベース「イメージ」プラットフォームをスキップします
* メインを v1.35.0-dev へ更新します
* 最新の containers/(storage,image,common) のベンダー
* --sbom 関連のフラグがないためにエラーメッセージを分割
* 「buildah マニフェスト」: artifact 関連のオプションを追加します
* cmd/buildah/manifest.go: 追加/注釈付け/プッシュの前にリストをロックします
* cmd/buildah/manifest.go: 構造体宣言のエイリアスを作成しない
* golang.org/x/exp/slices.Contains を使用します
* 新しい VM バージョンで Cirrus を試す
* chroot-mount-flags 統合テストで CONTAINERS_CONF を設定
* 依存関係の API の更新に一致するように更新
* github.com/openshift/imagebuilder および containers/common を更新します
* docs: デフォルトの authfile パスを修正します
* tests: ヒアドックサマリーのレトロフィットテスト
* build、heredoc: ビルド出力で heredoc の概要を表示
* マニフェスト、push: --retry および --retry-delay のサポートを追加します
* imagebuildah: 空の RUN によるクラッシュを修正します
* buildah が ulimits の処理のために podman と一致するようにします
* docs: 脚注を該当する場所に移動します
* ユーザーが非デリファレンスを指定できるようにする
* docs: README でダークテーマに反転したロゴを使用
* build,commit: コミット時にスキャンして SBOM を生成するために --sbom を追加します
* commit: 親にレイヤーはあるが履歴がない場合は、omitHistory を強制します
* docs: いくつかの入力ミスを修正します
* internal/mkcw.Archive(): 余分な画像コンテンツを処理します
*stage_executor、heredoc: heredoc のインタープリターを遵守
* stage_executor,layers: heredoc コンテンツが変更された場合、キャッシュをバーストします
* 必要に応じて map[K]bool を map[K]struct{} で置き換えます
* CI VM の更新
* strings.SplitN を strings.Cut で置き換えします
* buildah での containers-transports の値の使用を文書化します
* manifest: addCompression は containers.conf からのデフォルトを使用します
* commit: --add-file フラグを追加します
* mkcw: オーバーレイを使用して rootfs を投入します
* [skip-ci] アクション/古いアクションを v9 に更新
* label.Relabel が ENOSUP を返す場合にエラーを無視します
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける buildah パッケージを更新してください。参考資料
https://bugzilla.suse.com/1221243
https://bugzilla.suse.com/1221677
https://bugzilla.suse.com/1224117
http://www.nessus.org/u?6b42bec0
https://www.suse.com/security/cve/CVE-2024-1753
https://www.suse.com/security/cve/CVE-2024-24786
プラグインの詳細
深刻度: High
ID: 206956
ファイル名: suse_SU-2024-3186-1.nasl
バージョン: 1.1
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2024/9/11
更新日: 2024/9/11
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: High
スコア: 8.1
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.4
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2024-28180
CVSS v3
リスクファクター: High
基本値: 8.6
現状値: 7.5
ベクトル: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2024-1753
脆弱性情報
CPE: cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:buildah
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2024/9/10
脆弱性公開日: 2024/3/5
参照情報
CVE: CVE-2024-1753, CVE-2024-24786, CVE-2024-28180, CVE-2024-3727
SuSE: SUSE-SU-2024:3186-1