atomic-openshiftの更新プログラムが、Red Hat OpenShift Container Platform 3.9で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。このアドバイザリには、Red Hat OpenShift Container Platform 3.9.102のatomic-openshift RPMパッケージが含まれています。セキュリティ修正プログラム：* kubernetes：YAML解析は「Billion Laughs」攻撃に対して脆弱であり、リモートでのサービス拒否を引き起こす可能性があります（CVE-2019-11253）* atomic-openshift：OpenShiftビルドはGitリポジトリのSSHホストキーを検証しません（CVE-2019-10150）* kubernetes：CVE-2019-1002101とCVE-2019-11246の不完全な修正、kubectl cpにおけるディレクトリトラバーサルの可能性（CVE-2019-11249）* kubernetes：「kubectl cp」では、二重のシンボリックリンクを介した任意のファイル書き込みの可能性があります（CVE-2019-11251）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

atomic-openshiftの更新プログラムが、Red Hat OpenShift Container Platform 3.10で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。セキュリティ修正プログラム：* kubernetes：YAML解析は「Billion Laughs」攻撃に対して脆弱であり、リモートでのサービス拒否を引き起こす可能性があります（CVE-2019-11253）* kubernetes：CVE-2019-1002101とCVE-2019-11246の不完全な修正、kubectl cpの潜在的ディレクトリ横断（CVE-2019-11249）* kube-apiserver：json-patch型のパッチを細工することによるDoS（CVE-2019-1002100）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

v1.15.2 +キャリーUpstream #81330に更新してください 

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Oracle Linux 7 ホストに、ELSA-2019-4816 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Kubernetes --cache-dir v1.8.x - $HOME/v1.14.x では、スキーマ情報は、誰でも書き込める権限（rw- rw-rw-）。 --cache-dir が指定され、他のユーザー / グループがアクセス可能な別の場所を指している場合、書き込まれたファイルが他のユーザー / グループによって変更され、kubectl の呼び出しが中断される可能性があります。(CVE-2019-11244)

  - 一部の HTTP/2 実装は、ping フラッドに対して脆弱であり、サービス拒否を引き起こす可能性があります。攻撃者は HTTP/2 ピアに継続的に ping を送信し、ピアに応答の内部キューを作成させます。このデータを効率的にキューに入れる方法によって、CPU、メモリ、またはその両方が過剰に消費される可能性があります。
    (CVE-2019-9512)

  - kubectl cp コマンドにより、コンテナとユーザーマシンの間でファイルをコピーする可能性があります。コンテナからファイルをコピーするために、Kubernetes はコンテナ内で tar を実行して tar アーカイブを作成し、それをネットワーク経由でコピーし、kubectl がそれをユーザーのマシン上で解凍します。コンテナ内の tar バイナリが悪意ある場合、任意のコードを実行し、予期しない悪意ある結果を出力する可能性があります。攻撃者がこれを利用して、kubectl cp が呼び出されたときに、ユーザーのマシンの任意のパスにファイルを書き込むことができます。これは、ローカルユーザーのシステム権限によってのみ制限されます。影響を受ける Kubernetes のバージョンには、1.12.9 より前のバージョン、1.13.6 より前のバージョン、1.14.2 より前のバージョン、バージョン 1.1、1.2、1.4、1.4、1.5、1.6、1.7、1.8、1.9、1.10、1.11 があります。(CVE-2019-11246)

  - バージョン 1.1-1.12、ならびにバージョン 1.13.11、 1.14.7、および 1.15.4 より前の Kubernetes kubectl cp コマンドにより、悪意のあるコンテナの tar 出力によって提供される 2 つのシンボリックリンクを組み合わせて、kubectl cp 呼び出しで指定された宛先ディレクトリの外にファイルを配置できるようにします。これを利用して、攻撃者がシンボリックリンクを使用して極悪なファイルを宛先ツリー外に配置する可能性があります。(CVE-2019-11251)

  - リソースが名前空間であるかのようにリクエストが行われた場合、Kubernetes kube-apiserver はクラスタースコープのカスタムリソースへのアクセスを誤って許可します。この方法でアクセスされるリソースの承認は、ネームスペース内のロールとロールバインディングを使用して強制されます。つまり、1 つのネームスペース内のリソースにのみアクセスできるユーザーは、(ネームスペースロール特権に従って) クラスタースコープのリソースを作成、表示、更新、または削除できます。 影響を受ける Kubernetes のバージョンには、1.13.9 より前のバージョン、1.14.5 より前のバージョン、1.15.2 より前のバージョン、バージョン 1.7、1.8、1.9、1.10、1.11、1.12 があります。(CVE-2019-11247)

  - kubectl cp コマンドにより、コンテナとユーザーマシンの間でファイルをコピーする可能性があります。コンテナからファイルをコピーするために、Kubernetes はコンテナ内で tar を実行して tar アーカイブを作成し、それをネットワーク経由でコピーし、kubectl がそれをユーザーのマシン上で解凍します。コンテナ内の tar バイナリが悪意ある場合、任意のコードを実行し、予期しない悪意ある結果を出力する可能性があります。攻撃者がこれを利用して、kubectl cp が呼び出されたときに、ユーザーのマシンの任意のパスにファイルを書き込むことができます。これは、ローカルユーザーのシステム権限によってのみ制限されます。影響を受ける Kubernetes のバージョンには、1.13.9 より前のバージョン、1.14.5 より前のバージョン、1.15.2 より前のバージョン、バージョン 1.1、1.2、1.4、1.4、1.5、1.6、1.7、1.8、1.9、1.10、1.11、1.12 があります。
    (CVE-2019-11249)

  - 1.12.10 より前、および 1.13.1 より前の 1.13.x の Go では、HTTP リクエストスマグリングを許可します。(CVE-2019-16276)

  - バージョン v1.0-1.12、ならびに v1.13.12 より前のバージョン、v1.14.8、v1.15.5、および v1.16.2 の Kubernetes API サーバーの入力検証が不適切であるため、認証されたユーザーは、悪意のある YAML または JSON ペイロードを送信し、API サーバーが CPU またはメモリを過剰に消費することで、クラッシュや使用不能になる可能性があります。
    v1.14.0 より前のバージョンでは、デフォルトの RBAC ポリシーにより、匿名のユーザーがリクエストを送信することを承認されていました。これにより、この脆弱性が発生する可能性があります。v1.14.0 より前のバージョンからアップグレードされたクラスターは、下位互換性のために、デフォルトで許容度の高いポリシーを維持します。(CVE-2019-11253)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
130747	RHEL 7：OpenShift Container Platform 3.9 atomic-openshift（RHSA-2019:3811）	Nessus	Red Hat Local Security Checks	2019/11/8	2024/4/12	medium
130384	RHEL 7：OpenShift Container Platform 3.10 atomic-openshift（RHSA-2019:3239）	Nessus	Red Hat Local Security Checks	2019/10/30	2024/4/28	medium
128127	Fedora 30：kubernetes（2019-2b8ef08c95）	Nessus	Fedora Local Security Checks	2019/8/26	2024/5/2	high
180704	Oracle Linux 7: kubernetes (ELSA-2019-4816)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/8	high

検出

プラグインの検索

medium

medium

high

high