Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - containerd は、オープンソースのコンテナランタイムです。ユーザーがホストでメモリを使い果たす可能性がある containerd の CRI 実装にバグが見つかりました。CRI ストリームサーバーでは、TTY がリクエストされた場合、ターミナルサイズ変更イベントを処理するために goroutine が起動されます。欠陥のあるコマンドなどのためにユーザーのプロセスが起動に失敗した場合、goroutine がレシーバーなしで送信するための待機でスタックし、メモリリークが発生します。
    Kubernetes と crictl はどちらも、containerd の CRI 実装を使用するように構成でき、ストリームサーバーはコンテナ IO 処理のために使用されます。このバグは、containerd 1.6.12 および 1.5.16 で修正されました。この問題を解決するには、ユーザーがこれらのバージョンに更新する必要があります。アップグレードできないユーザーは、信頼できるイメージとコマンドのみが使用され、信頼できるユーザーのみが実行中のコンテナでコマンドを実行する権限を持つようにする必要があります。(CVE-2022-23471)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2022-23471

medium Nessus プラグイン ID 250341

バージョン 1.2