リモートホストは、GLSA-201701-34（runC：権限昇格）に記載されている脆弱性に影響されています。runCにより、「runc exec」を介した追加のコンテナプロセスがコンテナのpid 1によって追跡可能である脆弱性が発見されました。これにより、コンテナのメインプロセスがルートとして実行されている場合、これらの新しいプロセスのfile-descriptorへのアクセスを取得することができます。影響：攻撃者が、プロセスの初期化前にコンテナを正常にエスケープしたり、runCの状態を変更したりできるため、権限を昇格させる可能性があります。回避策：現時点では、既知の回避策はありません。

リモートの Oracle Linux 6/7 ホストに、ELSA-2017-3511 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - RunC により、「runc exec」を介した追加のコンテナプロセスがコンテナの pid 1 によって追跡される可能性がありました。
    これにより、コンテナのメインプロセスがルートとして実行されている場合、初期化中にこれらの新しいプロセスのファイル記述子にアクセスでき、プロセスがコンテナ内に完全に配置される前にコンテナエスケープまたは runC 状態の変更につながる可能性があります。(CVE-2016-9962)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存していることに注意してください。

Dockerの更新プログラムが、Red Hat Enterprise Linux 7 Extrasで利用可能になりました。Red Hat製品セキュリティは、この更新プログラムがセキュリティに及ぼす影響の重要度を中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Dockerはオープンソースエンジンで、任意のアプリケーションの展開を軽量でポータブルかつ自己充足型のコンテナとして自動化します。これは仮想環境でどこでも実行されます。docker（1.12.5）のパッケージが新しいアップストリームバージョンにアップグレードされました。（BZ#1404298）セキュリティ修正プログラム：ドッカーの「docker exec」機能によって使用されるruncコンポーネントは、コンテナのpid 1の追跡を介した追加のコンテナプロセスが可能でした。これにより、コンテナのメインプロセスがルートとして実行されている場合、初期化中にこれらの新しいプロセスへの低レベルアクセスを取得することができます。攻撃者は着信プロセスの性質に応じて、これを利用してホストへのアクセスを昇格する可能性があります。これは、ホストコンテンツへのアクセスから、着信プロセスのファイル記述子や、メモリアクセスまたはsyscall傍受を利用した完全なコンテナ回避にまで及びます。（CVE-2016-9962）Red Hatは、この問題を報告してくれたDockerプロジェクトに感謝の意を表します。アップストリームは、Aleksa Sarai氏（SUSE）とTonis Tiigi氏（Docker）を最初の報告者として認識しています。バグ修正プログラム：* dockerコンテナとイメージはレジストリに連絡するときに、環境からプロキシ変数を読み取ることができませんでした。その結果、ユーザーはシステムがプロキシを使用するように構成されているときに画像をプルできませんでした。コンテナと画像は環境からプロキシ変数を読み取るために固定されており、プロキシを使用するシステムから画像をプルすると正しく動作します。（BZ#1393816）* シンプールの準備が整う前にdocker-storage-setupのサービスが開始され、失敗することがありました。その結果、dockerデーモンも失敗しました。このバグは修正され、docker-storage-setupはシンプールが作成されるのを60秒間待ちます。このデフォルト時間は設定することができます。その結果、再起動時にdockerとdocker-storage-setupが正しく起動します。（BZ#1316786）* 以前は、dockerデーモンのユニットファイルはユーザー空間のプロキシパスを提供していませんでした。その結果、ポートが漏えいされたコンテナは起動できませんでした。このバグを修正するために、ユニットファイルが更新され、デーモンの開始コマンドにユーザー空間のプロキシパスのオプションと、その他のマイナーなパッケージの修正がいくつか組み込まれました。その結果、ポートが漏えいされたコンテナは期待通りに起動できるようになりました。（BZ#1406460）* 以前は、レジストリCAを/etc/docker/certs.d/ディレクトリから使用すると、システムCA（Certificate Authority）プールが除外されていました。その結果、イメージのプッシュの失敗、x509、未知の機関により署名された証明書のエラーでイメージのプルは失敗しました。このバグは修正され、dockerはシステムCAプールを正しく読み込み、イメージのプルが正しく機能するようになりました。（BZ#1400372）* 以前は、dockerデーモンのオプションで「--block-registry docker.io」のオプションが正しく処理されませんでした。その結果、docker.ioが「--block-registry docker.io」のオプションが有効になっていても、docker.ioからイメージの取得ができました。この更新プログラムではオプションの処理が修正され、「--block-registry docker.io」を使用するとイメージのプルが正しくブロックされるようになりました。（BZ#1395401）

V1.0最終リリース

----

runcコミットを更新します

----

最新のリリース候補版への更新

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

docker-latestの更新プログラムが、Red Hat Enterprise Linux 7 Extrasで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Dockerはオープンソースエンジンで、任意のアプリケーションの展開を軽量でポータブルかつ自己充足型のコンテナとして自動化します。これは仮想環境でどこでも実行されます。次のパッケージが新しいアップストリームバージョンにアップグレードされました：docker-latest（1.12.5）。（BZ#1404309）セキュリティ修正プログラム：ドッカーの「docker exec」機能によって使用されるruncコンポーネントは、コンテナのpid 1の追跡を介した追加のコンテナプロセスが可能でした。これにより、コンテナのメインプロセスがルートとして実行されている場合、初期化中にこれらの新しいプロセスへの低レベルアクセスを取得することができます。攻撃者は着信プロセスの性質に応じて、これを利用してホストへのアクセスを昇格する可能性があります。これは、ホストコンテンツへのアクセスから、着信プロセスのファイル記述子や、メモリアクセスまたはsyscall傍受を利用した完全なコンテナ回避にまで及びます。（CVE-2016-9962）Red Hatは、この問題を報告してくれたDockerプロジェクトに感謝の意を表します。アップストリームは、Aleksa Sarai氏（SUSE）とTonis Tiigi氏（Docker）を最初の報告者として認識しています。

解決：#1412238 - *CVE-2016-9962* - initプロセスをダンプ不能として設定します、

---- 

seccompを有効にするパッチ

----

1.0.0 rc2への更新

----

解決：#1342707 - v1.0.0-rc1への更新

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

runCにより、「runc exec」を介した追加のコンテナプロセスがコンテナのpid 1によって追跡可能であることがわかりました。これにより、コンテナのメインプロセスがルートとして実行されている場合、初期化中にこれらの新しいプロセスのファイル記述子にアクセスでき、プロセスがコンテナ内に完全に配置される前にコンテナエスケープまたはrunC状態の変更につながる可能性があります。

修正[CVE-2016-9962] 安全でないファイル記述子を開くと、特権の修正ができます BZ#1412148 - containerd：コンテナは、指定されたタイムアウトの前に起動しませんでした

----

use container-selinux >= 2:2.0-2

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

runcの更新プログラムが、Red Hat Enterprise Linux 7 Extrasで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。runCツールは、コンテナのランタイムを提供するOpen Container Format（OCF）の軽量でポータブルな実装です。セキュリティ修正プログラム：ドッカーの「docker exec」機能によって使用されるruncコンポーネントは、コンテナのpid 1の追跡を介した追加のコンテナプロセスが可能でした。これにより、コンテナのメインプロセスがルートとして実行されている場合、初期化中にこれらの新しいプロセスへの低レベルアクセスを取得することができます。攻撃者は着信プロセスの性質に応じて、これを利用してホストへのアクセスを昇格する可能性があります。これは、ホストコンテンツへのアクセスから、着信プロセスのファイル記述子や、メモリアクセスまたはsyscall傍受を利用した完全なコンテナ回避にまで及びます。（CVE-2016-9962）Red Hatは、この問題を報告してくれたDockerプロジェクトに感謝の意を表します。アップストリームは、Aleksa Sarai氏（SUSE）とTonis Tiigi氏（Docker）を最初の報告者として認識しています。

修正CVE-2016-9962 - 安全でないファイル記述子を開くと、特権昇格が発生する可能性があります

----

docker @projectatomic/docker-1.12を構築し、6009905をコミット

----

docker @projectatomic/docker-1.12を構築し、97974aeをコミット

----

docker @projectatomic/docker-1.12を構築し、7b5044bをコミット

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

この更新

  - containerd、

  - dockerをバージョン 1.12.6に更新します

  - runcによりいくつかの問題が修正されます。

次のセキュリティ問題が修正されました：

  - CVE-2016-9962：コンテナエスケープの脆弱性（bsc#1012568）。

次のセキュリティ以外の問題が修正されました：

  - boo#1019251：dockerサービス開始時の遅延を追加します 

  - bash-completionを修正しました

  - boo#1015661：/usr/bin/docker-runシンボリックリンクを追加します。 

詳細については、変更ログを参照してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
96475	GLSA-201701-34：runC：権限昇格	Nessus	Gentoo Local Security Checks	2017/1/13	2021/1/11	medium
96589	Oracle Linux 6/7: docker-engine / docker-engine-selinux (ELSA-2017-3511)	Nessus	Oracle Linux Local Security Checks	2017/1/18	2023/5/3	high
96596	RHEL 7：docker（RHSA-2017:0116）	Nessus	Red Hat Local Security Checks	2017/1/18	2019/10/24	medium
102086	Fedora 25：1：runc（2017-20cdb2063a）	Nessus	Fedora Local Security Checks	2017/8/1	2021/1/11	medium
96597	RHEL 7：docker-latest（RHSA-2017:0123）	Nessus	Red Hat Local Security Checks	2017/1/18	2019/10/24	medium
96616	Fedora 25：1: runc（2017-0200646669）	Nessus	Fedora Local Security Checks	2017/1/19	2021/1/11	medium
96394	Amazon Linux AMI：docker（ALAS-2017-783）	Nessus	Amazon Linux Local Security Checks	2017/1/11	2018/4/18	medium
96469	Fedora 25：2: docker（2017-dbc2b618eb）	Nessus	Fedora Local Security Checks	2017/1/13	2021/1/6	medium
96598	RHEL 7：runc（RHSA-2017:0127）	Nessus	Red Hat Local Security Checks	2017/1/18	2019/10/24	medium
96509	Fedora 25：2: docker-latest（2017-fcd02e2c2d）	Nessus	Fedora Local Security Checks	2017/1/16	2021/1/6	medium
96678	Fedora 24：2: docker-latest（2017-c2c2d1be16）	Nessus	Fedora Local Security Checks	2017/1/23	2021/1/6	medium
96918	openSUSEセキュリティ更新プログラム：containerd/docker/docker-runc/etc（openSUSE-2017-181）	Nessus	SuSE Local Security Checks	2017/2/1	2021/1/19	medium

検出

プラグインの検索

medium

high

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium