Amazon Linux 2 : ecs-init (ALASECS-2025-050)

low Nessus プラグイン ID 232221

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている ecs-init のバージョンは、1.89.1-1 より前です。したがって、ALAS2ECS-2025-050のアドバイザリに記載されている脆弱性の影響を受けます。

runc は、OCI 仕様に従ってコンテナを生成および実行するための CLI ツールです。runc 1.1.13 以前、ならびに 1.2.0-rc2 以前は、2 つのコンテナ間でボリュームを共有し、「os.MkdirAll」との競合を悪用することにより、ホストファイルシステムの任意の場所に空のファイルまたはディレクトリを作成するように誘導される可能性があります。これは、空のファイルを作成するために使用される可能性がありますが、既存のファイルは切り捨てられません。攻撃者は、何らかのカスタムボリューム設定を使用してコンテナを起動できる必要があります。ユーザーの名前空間を使用するコンテナは依然として影響を受けますが、攻撃者が inode を作成できる場所の範囲を大幅に減らすことができます。十分に厳格な LSM ポリシー (SELinux/Apparmor) も、原則としてこの攻撃をブロックできます。弊社では、業界標準の SELinux ポリシーがこの攻撃の範囲を制限している可能性があると考えていますが、正確な保護範囲は分析されていません。これは、runc を直接使用するか、Docker および Kubernetes を介して悪用できます。この問題は、runc v1.1.14 および v1.2.0-rc3 で修正されています。

いくつかの回避策が利用可能です。ユーザーの名前空間を使用すると、この攻撃がかなり制限され、再マッピングされた root ユーザー/グループが書き込みアクセス権を持つディレクトリにのみ、攻撃者が inode を作成できます。
root ユーザーがホストの実際のユーザーに再マッピングされない限り (「/etc/sub[ug]id」を使用しないルートのないコンテナなど)、これは実際には、攻撃者が誰でも書き込み可能なディレクトリにのみ inode を作成できることを意味します。十分に厳格な SELinux または AppArmor ポリシーは、特定のラベルが runc ランタイムに適用されている場合、原理的には範囲を制限することもできますが、既存の標準ポリシーがこの攻撃をブロックする範囲や、この攻撃を十分に制限するために必要な正確なポリシーは、十分にテストされていません。(CVE-2024-45310)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。