Debian DLA-442-1：lxc セキュリティ更新

high Nessus プラグイン ID 89042

Language:

概要

リモートの Debian ホストにセキュリティ更新がありません。

説明

概要

CVE-2013-6441

テンプレートスクリプト lxc-sshd は、書き込み可能な bind-mount を使用することで、コンテナで自身を /sbin/init としてマウントしていました。

この更新では、起こり得る偶発的な損害を防ぐ代わりに、読み取り専用の bind-mount を使用することで、上記の問題を解決しました。

CVE-2015-1335

コンテナの起動時に、lxc は、コンテナの構成ファイルで指示されるように、マウントを大量に行うことで、コンテナの初期ファイルシステムツリーを設定します。

コンテナの構成は、ホストでの管理者またはユーザーにより所有されているため、不良なエントリからの保護を行いません。
ただし、マウントのターゲットはコンテナ内にあるため、コンテナの管理者がシンボリックリンクでマウントを迂回させる可能性があります。これは、適切なコンテナ設定をバイパスする可能性があるか（すなわち、必要な書き込みを /proc/self/attr/current に迂回させることによる、限定的な apparmor ポリシーによるルート所有コンテナの封じ込め）、コンテナで /proc を /mnt に迂回させることで、（パスベースの）apparmor ポリシーをバイパスする可能性があります。

この更新で実装している safe_mount() 関数は、lxc がシンボリックリンクにマウントできないようにしています。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。