Oracle Linux 6/7: docker-engine（ELSA-2015-3085）

high Nessus プラグイン ID 86395

Language:

概要

リモートの Oracle Linux ホストに、1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Oracle Linux 6 / 7 ホストに、ELSA-2015-3085 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 1.8.3 より前の Docker Engine および 1.6.2-CS7 より前の CS Docker Engine は、グローバルに一意の識別子を使用して画像レイヤーを保存しないため、攻撃者が pull または push コマンドで細工された画像を介して画像キャッシュを汚染することが容易になります。(CVE-2014-8178)

- 1.8.3 より前の Docker Engine および 1.6.2-CS7 より前の CS Docker Engine は、プル中に JSON 表現からマニフェストオブジェクトを適切に検証および抽出しないため、攻撃者が JSON オブジェクトに新しい属性を挿入し、pull-by-digest 検証をバイパスする可能性があります。(CVE-2014-8179)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。