Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.8.3 より前の Docker Engine および 1.6.2-CS7 より前の CS Docker Engine は、プル中に JSON 表現からマニフェストオブジェクトを適切に検証および抽出しないため、攻撃者が JSON オブジェクトに新しい属性を挿入し、pull-by-digest 検証をバイパスする可能性があります。(CVE-2014-8179)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Docker がバージョン 1.9.0 に更新され、機能やバグ修正が追加されました（bnc#954812）：

- ランタイム：

- 「docker stats」が、現在ブロック IO メトリクスを返すようになりました（#15005）

- 「docker stats」は現在、インターフェイスごとにネットワークステータスを詳細に示すようになりました（#15786）

- 「ancestor=<image>」フィルターを「docker ps --filter」フラグに追加し、それらの上位画像に基づいてコンテナのフィルター処理を行います（#14570）

- 「label=<somelabel>」フィルターを「docker ps --filter」に追加し、ラベルに基づいてコンテナのフィルター処理を行います（#16530）

- 「--kernel-memory」フラグを「docker run」に追加します（#14006）

- 「--message」フラグを「docker import」に追加し、オプションのメッセージを指定できるようにします（#15711）

- 「--privileged」フラグを「docker exec」に追加します（#14113）

- 「--stop-signal」フラグを「docker run」に追加し、コンテナプロセス停止信号を置換できるようにします（#15307）

- 新しい「unless-stopped」再起動ポリシーを追加します（#15348）

- 画像の検査は現在、タグを返すようになりました（#13185）

- コンテナサイズ情報を「docker inspect」に追加します（#15796）

- 「RepoTags」および「RepoDigests」フィールドを「/images/{name:.*}/json」に追加します（#17275）

- 非推奨の「/container/ps」エンドポイントを API から削除します（#15972）

- 「exec/<name>/start」に対して適切な HTTP コードを送信し、文書化します（#16250）

- IPC 名前空間を共有するコンテナ間の shm および mqueue を共有します（#15862）

- イベントストリームは現在、「--oom-kill-disable」が設定されている場合に OOM ステータスを表示するようになりました（#16235）

- 「ro」オプションでバインドマウントされた場合、特別なネットワークファイル（/etc/hosts など）が読み取り専用となるようにします（#14965）

- 「rmi」パフォーマンスを向上します（#16890）

- デフォルトブリッジネットワークに対して /etc/hosts を更新しません。ただし、リンクは除きます（#17325）

- 重複コンテナ名の競合を修正します（#17389）

- 「docker inspect」の不適切なテンプレートの実行による問題を修正します（#17284）

- docker 実行の「--cpu-shares」に対する「-c」ショートフラグのバリアントを廃止します（#16271）

- クライアント：

- ローカルファイルからインポートするために「docker import」を許可します（#11907）

- ビルダー：

- コンテナプロセスに対して別の停止信号を設定できるようにする、「STOPSIGNAL」Dockerfile 命令を追加します（#15307）

- 「ARG」Dockerfile 命令および「--build-arg」フラグを、ビルド時間の環境変数を追加できる「docker build」に追加します（#15182）

- キャッシュミスパフォーマンスを向上します（#16890）

- ストレージ：

- devicemapper：遅延削除機能を実装します（#16381）

- ネットワーク：

- 「docker network」が実験対象外となり、標準リリースの一部となりました（#16645）

- 関連したサブコマンドおよび API を含む、新しいネットワークのトップレベルコンセプト（#16645）警告：API は、実験的な API とは異なります

- 複数の分離した/マイクロセグメント化したネットワークのサポート（#16645）

- VXLAN ベースのオーバーレイドライバーを使用したビルトインマルチホストネットワーク（#14071）

- サードパーティのネットワークプラグインのサポート（#13424）

- 複数のネットワークに動的にコンテナを接続する機能（#16645）

- プラグ可能 IPAM ドライバーからのユーザー定義型の IP アドレス 管理のサポート（#16910）

- ビルトインノード検出に対してデーモンフラグ「--cluster-store」および「--cluster-advertise」を追加します（#16229）

- TLS 設定を実行するために、「--cluster-store-opt」を追加します（#16644）

- 「--dns-opt」をデーモンに追加します（#16031）

- API v1.21 の次のコンテナ「NetworkSettings」フィールドを廃止します：「EndpointID」、「Gateway」、「GlobalIPv6Address」、「GlobalIPv6PrefixLen」、「IPAddress」、「IPPrefixLen」、「IPv6Gateway」、および「MacAddress」。これらは、「ブリッジ」ネットワーク専用になりました。「NetworkSettings.Networks」を使用し、各ネットワークコンテナのネットワーク設定を検査します。

- ボリューム：

- 新しいトップレベルの「ボリューム」サブコマンドおよび API（#14242）

- ホスト固有の構成に API ボリュームドライバーの設定を移動します（#15798）

- ボリューム名が一意でない場合、エラーメッセージを出力します（#16009）

- Dockerfiles から作成したボリュームが、常にローカルボリュームドライバーを使用するようにします（#15507）

- bind マウントに対する、欠如したホストパスの自動作成を廃止します（#16349）

- ロギング：

- Amazon CloudWatch 用の「awslogs」ロギングドライバーを追加します（#15495）

- ジェネリック「タグ」ログオプションを追加し、ドライバーに対して渡されるコンテナ/画像情報のカスタマイズを可能にします（例：コンテナ名を表示）（#15384）

- journald ドライバー用の「docker logs」エンドポイントを実装します（#13707）

- ドライバー固有のログタグを廃止します（例：「syslog-tag」など）（#15384）

- ディストリビューション：

- 「docker search」は現在、部分的な名前で動作するようになりました（#16509）

- プッシュの最適化：ファイルに対するバッファリングを回避します（#15493）

- デーモンが、別のクライアントにすでに取得されている画像の進行状況を表示します（#15489）

- 実行されている現在のアクションに必須の権限のみがリクエストされます（#）

- 「offline」から「root」、「tagging」から「repository」にトラスト鍵（およびそれぞれの環境変数）の名前を変更します（#16894）

- トラスト鍵の環境変数の「DOCKER_CONTENT_TRUST_OFFLINE_PASSPHRASE」および「DOCKER_CONTENT_TRUST_TAGGING_PASSPHRASE」を廃止します（#16894）

- セキュリティ：

- rpm パッケージに SELinux プロファイルを追加します（#15832）

- deb パッケージで提供されている AppArmor プロファイルによる、さまざまな問題を修正します（#14609）

- /pro に対する書き込みを阻止する AppArmor ポリシーを追加します（#15571）

- systemd ユニットファイルを、非推奨の「-d」オプションを使用しないように変更します（bnc#954737）

- また、docker がセキュリティ問題を修正する 1.8.3 バージョンに更新されました：

- ローカルグラフポイズニングにつながる、レイヤー ID を修正します（CVE-2014-8178）（boo#949660）

- pull-by-digest 検証バイパスが発生する、マニフェストの検証および解析ロジックエラーを修正します（CVE-2014-8179）

- 「--disable-legacy-registry」を追加し、デーモンが v1 レジストリを使用しないようにします

リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:03545-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    この更新にはすでに修正済みの参照がほとんど含まれていることに注意してください。

    - 不必要なプルを回避するために SLE 上の git-core の推奨を削除します。(bsc#1250508)

      この機能は、主に開発者向け (「docker build git://」) であり、多くのユーザーはすでに依存関係をインストール済みです。また、git がない場合のエラーは比較的わかりやすく、インストールする必要のあるものを簡単に特定できます。

    - docker-stable フォーク以前の履歴変更ログデータを含めます。最初の変更ログのエントリは、技術的には必要な情報をすべて提供していましたが、Tenable の CVE トラッキングツールはパッケージのフォーク方法を理解していないため、このパッケージには約 12 年分の更新に対する修正が含まれていないと思われます。そのため、フォークポイントまで、元のパッケージの変更ログのコピーを含めます。 bsc#1250596

    - docker-buildx v0.25.0 に更新します。Upstream 変更ログ。
      <https://github.com/docker/buildx/releases/tag/v0.25.0>

    - Upstream が Go 1.23 を使用するように 23.0.x LTSS を切り替えたため、ビルド用に Go 1.23 に更新します。

    - Rootless Docker モードでは、Docker がホストの zypper 認証情報へのアクセス許可を持たないため、SUSEConnect のシークレットを注入しないでください (特権のないユーザーは /etc/docker/suse-secrets-enable を使用してもこの機能を無効化できません)。(bsc#1240150)

    - Docker 24.0.7-ce リリース (2024 年 2 月 14 日にパッケージ化) からフォークされた、初期の docker-stable フォーク。以下に、履歴用の元の変更ログを示します。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 6 / 7 ホストに、ELSA-2015-3085 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.8.3 より前の Docker Engine および 1.6.2-CS7 より前の CS Docker Engine は、グローバルに一意の識別子を使用して画像レイヤーを保存しないため、攻撃者が pull または push コマンドで細工された画像を介して画像キャッシュを汚染することが容易になります。(CVE-2014-8178)

  - 1.8.3 より前の Docker Engine および 1.6.2-CS7 より前の CS Docker Engine は、プル中に JSON 表現からマニフェストオブジェクトを適切に検証および抽出しないため、攻撃者が JSON オブジェクトに新しい属性を挿入し、pull-by-digest 検証をバイパスする可能性があります。(CVE-2014-8179)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

2 つのセキュリティ問題を修正するために、Docker がバージョン 1.8.3 に更新されました。

次の脆弱性が修正されました：

- CVE-2014-8178：レイヤー ID はローカルグラフポイズニングの原因になります（boo#949660）

- CVE-2014-8179：マニフェスト検証および解析ロジックのエラーにより、pull-by-digest 検証をバイパスできます

さらに、以下の変更が含まれます：

- --disable-legacy-registry により、デーモンによる v1 レジストリの使用が防止されます

リモートの SUSE Linux SLES12 ホストには、SUSE-SU-2025:03540-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - docker-stable フォーク以前の履歴変更ログデータを含めます。最初の変更ログのエントリは、技術的には必要な情報をすべて提供していましたが、Tenable の CVE トラッキングツールはパッケージのフォーク方法を理解していないため、このパッケージには約 12 年分の更新に対する修正が含まれていないと思われます。そのため、フォークポイントまで、元のパッケージの変更ログのコピーを含めます。(bsc#1250596)

    - SLE での git-core 推奨を削除します。ほとんどの SLE システムは、デフォルトで installRecommends=yes を設定しているため、Docker で git がインストールされます。
      bsc#1250508

      この機能は、主に開発者向け (「docker build git://」) であり、多くのユーザーはすでに依存関係をインストール済みです。また、git がない場合のエラーは比較的わかりやすく、インストールする必要のあるものを簡単に特定できます。

    - バックポート <https://github.com/moby/moby/pull/48517>。 bsc#1247362

    - docker-buildx v0.25.0 に更新します。Upstream 変更ログ。
      <https://github.com/docker/buildx/releases/tag/v0.25.0>

    - Rootless Docker モードでは、Docker がホストの zypper 認証情報へのアクセス許可を持たないため、SUSEConnect のシークレットを注入しないでください (特権のないユーザーは /etc/docker/suse-secrets-enable を使用してもこの機能を無効化できません)。(bsc#1240150)

    - Docker 24.0.7-ce リリース (2024 年 2 月 14 日にパッケージ化) からフォークされた、初期の docker-stable フォーク。以下に、履歴用の元の変更ログを示します。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
218455	Linux Distros のパッチ未適用の脆弱性: CVE-2014-8179	Nessus	Misc.	2025/3/4	2025/8/24	high
87017	openSUSE セキュリティ更新：docker（openSUSE-2015-792）	Nessus	SuSE Local Security Checks	2015/11/24	2021/1/19	high
270307	SUSE SLES15 / openSUSE 15 セキュリティ更新 : docker-stable (SUSE-SU-2025:03545-1)	Nessus	SuSE Local Security Checks	2025/10/14	2025/10/15	critical
86395	Oracle Linux 6/7: docker-engine（ELSA-2015-3085）	Nessus	Oracle Linux Local Security Checks	2015/10/15	2024/10/22	high
86437	openSUSE セキュリティ更新：docker（openSUSE-2015-666）	Nessus	SuSE Local Security Checks	2015/10/19	2021/1/19	high
270099	SUSE SLES12 セキュリティ更新 : docker-stable (SUSE-SU-2025:03540-1)	Nessus	SuSE Local Security Checks	2025/10/11	2025/10/11	critical

検出

プラグインの検索

high

high

critical

high

high

critical