解決：#1715758 - CVE-2019-9946

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

container-tools:rhel8モジュールの更新プログラムがRed Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響の重要度を重要と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。container-toolsモジュールには、コンテナを扱うためのツール、特にpodman、buildah、skopeo、runcが含まれています。セキュリティ修正プログラム：* QEMU：slirp：パケットの再構築中のヒープバッファオーバーフロー（CVE-2019-14378）* containers/image：ユーザー名とパスワードの認証情報をトークンサーバーに送信する場合にTLSを実施しないため、認証情報の漏えいの可能性（CVE-2019-10214）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。追加の変更：このリリースの変更に関する詳細については、「参照」セクションからリンクされているRed Hat Enterprise Linux 8.1リリースノートを参照してください。

リモートの Oracle Linux 7 ホストに、ELSA-2019-4593 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Cloud Native Computing Foundation (CNCF) CNI (Container Networking Interface) 0.7.4 には、Kubernetes に影響を与えるネットワークファイアウォールの設定ミスがあります。CNI 用の HostPort のセットアップに使用される CNI 「portmap」プラグインは、iptables nat チェーンの前部にルールを挿入します。これは KUBE-SERVICES チェーンよりも優先されます。このため、チェーンの後半にある NodePorts のような、より適切でより具体的なサービス定義ルールが存在する場合でも、HostPort/portmap ルールが着信トラフィックと一致する可能性があります。この問題は、CNI 0.7.5 および Kubernetes 1.11.9、1.12.7、1.13.5、および 1.14.0 で修正されています。(CVE-2019-9946)

  - kubectl cp コマンドにより、コンテナとユーザーマシンの間でファイルをコピーする可能性があります。コンテナからファイルをコピーするために、Kubernetes はコンテナ内に tar を作成し、それをネットワーク経由でコピーします。kubectl がユーザーのマシンでファイルを解凍します。コンテナ内の tar バイナリが悪意ある場合、任意のコードを実行し、予期しない悪意ある結果を出力する可能性があります。攻撃者がこれを利用して、kubectl cp が呼び出されたときに、ユーザーのマシンの任意のパスにファイルを書き込むことができます。これは、ローカルユーザーのシステム権限によってのみ制限されます。untar 関数は、シンボリックリンクの作成とフォローの両方が可能です。この問題は、kubectl v1.11.9、v1.12.7、v1.13.5、v1.14.0 で解決されています。(CVE-2019-1002101)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Cloud Native Computing Foundation (CNCF) CNI (Container Networking Interface) 0.7.4 には、Kubernetes に影響を与えるネットワークファイアウォールの設定ミスがあります。CNI 用の HostPort のセットアップに使用される CNI 「portmap」プラグインは、iptables nat チェーンの前部にルールを挿入します。これは KUBE-SERVICES チェーンよりも優先されます。このため、チェーンの後半にある NodePorts のような、より適切でより具体的なサービス定義ルールが存在する場合でも、HostPort/portmap ルールが着信トラフィックと一致する可能性があります。この問題は、CNI 0.7.5 および Kubernetes 1.11.9、1.12.7、1.13.5、および 1.14.0 で修正されています。(CVE-2019-9946)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのRocky Linux 8ホストには、RLSA-2019:3403アドバイザリに記載されているとおり、複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Red Hat Enterprise Linux バージョン 8 のコンテナツールである Podman、Buildah、Skopeo、および OpenShift Container Platform の CRI-O で使用されるコンテナ / イメージライブラリは、コンテナレジストリ認証サービスへの TLS 接続を強制しません。攻撃者がこの脆弱性を利用して、MiTM 攻撃を仕掛け、ログイン認証情報または無記名トークンを盗む可能性があります。(CVE-2019-10214)

  最初のフラグメントを含む場合を不適切に処理するため、libslirp 4.0.0 において ip_input.cのip_reass に、大きなパケットを介したヒープベースのバッファオーバーフローがあります。(CVE-2019-14378)

  - Cloud Native Computing Foundation (CNCF) CNI (Container Networking Interface) 0.7.4 には、Kubernetes に影響を与えるネットワークファイアウォールの設定ミスがあります。CNI 用の HostPort のセットアップに使用される CNI 「portmap」プラグインは、iptables nat チェーンの前部にルールを挿入します。これは KUBE-SERVICES チェーンよりも優先されます。このため、チェーンの後半にある NodePorts のような、より適切でより具体的なサービス定義ルールが存在する場合でも、HostPort/portmap ルールが着信トラフィックと一致する可能性があります。この問題は、CNI 0.7.5 および Kubernetes 1.11.9、1.12.7、1.13.5、および 1.14.0 で修正されています。(CVE-2019-9946)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
125932	Fedora 29：containernetworking-plugins（2019-24217abfdf）	Nessus	Fedora Local Security Checks	2019/6/17	2024/5/15	high
130536	RHEL 8：container-tools:rhel8（RHSA-2019:3403）	Nessus	Red Hat Local Security Checks	2019/11/6	2024/11/7	high
180683	Oracle Linux 7: kubernetes / kubeadm-upgrade / kubeadm-ha-setup (ELSA-2019-4593)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/23	high
125867	Fedora 30：containernetworking-plugins（2019-d2b57d3b19）	Nessus	Fedora Local Security Checks	2019/6/13	2024/5/16	high
252427	Linux Distros のパッチ未適用の脆弱性: CVE-2019-9946	Nessus	Misc.	2025/8/20	2025/8/20	high
184867	Rocky Linux 8container-tools:rhel8RLSA-2019:3403	Nessus	Rocky Linux Local Security Checks	2023/11/7	2023/11/7	high

検出

プラグインの検索

high

high

high

high

high

high