リモート Azure Linux 3.0 ホストにインストールされている cri-tools / kata-containers / moby-runc / runc のバージョンは、テストされたバージョンより前です。したがって、CVE-2024-45310 のアドバイザリに記載されている脆弱性の影響を受けます。

  - runc は、OCI 仕様に従ってコンテナを作成および実行するための CLI ツールです。 runc 1.1.13 以前、および 1.2.0-rc2 以前は、2 つのコンテナ間でボリュームを共有し、「os.MkdirAll」との競合を悪用することで、ホストファイルシステムの任意の場所に空のファイルまたはディレクトリを作成するように仕向けられる可能性があります。 。これは、空のファイルを作成するために使用される可能性がありますが、既存のファイルは切り捨てられません。攻撃者は、何らかのカスタムボリューム設定を使用してコンテナを起動できる必要があります。ユーザーの名前空間を使用するコンテナは依然として影響を受けますが、攻撃者が inode を作成できる場所の範囲を大幅に減らすことができます。十分に厳格な LSM ポリシーSELinux/Apparmorも、原則としてこの攻撃をブロックできます -- 業界標準の SELinux ポリシーがこの攻撃の範囲を制限する可能性があると思われますが、正確な保護範囲は分析されていません。これは、runc を直接使用するか、Docker および Kubernetes を介して悪用できます。この問題は、runc v1.1.14 および v1.2.0-rc3 で修正されています。いくつかの回避策が利用可能です。ユーザーの名前空間を使用すると、この攻撃がかなり制限され、再マッピングされた root ユーザー/グループが書き込みアクセス権を持つディレクトリにのみ、攻撃者が inode を作成できます。
    root ユーザーがホスト上の実際のユーザーに再マッピングされない限り `/etc/sub[ug]id` を使用しないルートのないコンテナなど、実際には攻撃者は inode を作成できないことを意味します。誰でも書き込めるディレクトリにあります。十分に厳格な SELinux または AppArmor ポリシーは、特定のラベルが runc ランタイムに適用されている場合、原理的には範囲を制限することもできますが、既存の標準ポリシーがこの攻撃をブロックする範囲や、この攻撃を十分に制限するために必要な正確なポリシーは、十分にテストされていません。(CVE-2024-45310)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 のセキュリティ更新cri-tools / kata-containers / moby-runc / runcCVE-2024-45310

medium Nessus プラグイン ID 233947

バージョン 1.1