An update for docker-distribution is now available for Red Hat Enterprise Linux 7 Extras.

Red Hat Product Security has rated this update as having a security impact of Low. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link (s) in the References section.

The docker-distribution package provides the tool set to support the Docker Registry version 2.

The following packages have been upgraded to a later upstream version:
docker-distribution (2.6.2). (BZ#1479494)

Security Fix(es) :

* It was found that docker-distribution did not properly restrict memory allocation size for a registry instance through the manifest endpoint. An attacker could send a specially crafted request that would exhaust the memory of the docker-distribution service.
(CVE-2017-11468)

docker-distributionの更新プログラムが、Red Hat Enterprise Linux 7 Extrasで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。docker-distributionパッケージは、Docker Registryバージョン2をサポートするためのツールセットを提供します。次のパッケージが新しいアップストリームバージョンにアップグレードされました：docker-distribution（2.6.2）。（BZ#1479494）セキュリティ修正プログラム：* docker-distributionが、マニフェストエンドポイント経由でレジストリインスタンスのメモリ割り当てサイズを適切に制限していなかったことが判明しました。攻撃者がdocker-distributionサービスのメモリを過剰消費し、特別に細工されたリクエストを送信する可能性があります。（CVE-2017-11468）

This update for docker-distribution fixes the following issues :

Security issues fixed :

  - CVE-2017-11468: Fixed a denial of service (memory     consumption) via the manifest endpoint (bsc#1049850).

Bug fixes :

  - bsc#1083474: docker-distirbution-registry overwrites     configuration file with update.

  - bsc#1033172: Garbage collector needed - or kindly     release docker-distribution-registry in Version 2.4.

  - Add SuSEfirewall2 service file for TCP port 5000.

This update was imported from the SUSE:SLE-12:Update update project.

The remote Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS / 22.04 ESM host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-6336-1 advisory.

  - Docker Registry before 2.6.2 in Docker Distribution does not properly restrict the amount of content     accepted from a user, which allows remote attackers to cause a denial of service (memory consumption) via     the manifest endpoint. (CVE-2017-11468)

  - A flaw was found in the `/v2/_catalog` endpoint in distribution/distribution, which accepts a parameter to     control the maximum number of records returned (query string: `n`). This vulnerability allows a malicious     user to submit an unreasonably large value for `n,` causing the allocation of a massive string array,     possibly causing a denial of service through excessive use of memory. (CVE-2023-2253)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端 Ubuntu 16.04 ESM/18.04 ESM/20.04 LTS/22.04 ESM 主機上安裝的套件受到 USN-6336-1 公告中提及的多個弱點影響。

  - 在 Docker Distribution 中，Docker Registry 2.6.2 之前的版本未正確限制接受自使用者的內容量，進而讓遠端攻擊者可以透過資訊清單端點造成拒絕服務 (記憶體消耗)。(CVE-2017-11468)

  - 在發行版本/發行版本的「/v2/_catalog」端點中發現一個缺陷，此缺陷會接受一個參數來控制傳回的最大記錄數 (查詢字串：`n`)。此弱點允許惡意使用者提交過大的「n」值，這會導致使用者配置大量字串陣列，進而可能透過過度使用記憶體而造成拒絕服務。(CVE-2023-2253)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Enterprise Linux 7 Extras 的 docker-distribution 更新。Red Hat 產品安全性團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。docker-distribution 套件提供支援 Docker Registry 第 2 版的工具集。下列套件已升級至更新的上游版本：docker-distribution (2.6.2)。(BZ#1479494) 安全性修正：* 據發現，docker-distribution 無法正確限制資訊清單端點上登錄執行個體的記憶體配置大小。攻擊者可傳送特製的要求，耗盡 docker-distribution 服務的記憶體。(CVE-2017-11468)

远程 Ubuntu 16.04 ESM/18.04 ESM/20.04 LTS/22.04 ESM 主机上安装的一个程序包受到 USN-6336-1 公告中提及的多个漏洞影响。

  - 在 Docker Distribution 中，Docker Registry 2.6.2 之前的版本未正确限制可接受自用户的内容数量，从而使远程攻击者可以通过 manifest 端点造成拒绝服务（内存消耗）。(CVE-2017-11468)

  - 在 distribution/distribution 的 `/v2/_catalog` 端点中发现缺陷，该缺陷接受参数以控制返回的最大记录数（查询字符串：`n`）。此漏洞允许恶意用户提交过大的 `n` 值，从而造成分配大量字符串数组，还可能通过过量使用内存造成拒绝服务。(CVE-2023-2253)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

docker-distribution 的更新现可用于 Red Hat Enterprise Linux 7 Extras。Red Hat 产品安全团队将此更新评级为具有低等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Docker-distribution 程序包提供支持 Docker Registry version 2 的工具集。下列程序包已升级到更高的上游版本：docker-distribution (2.6.2)。(BZ#1479494) 安全修复：* 已发现 docker-distribution 未能通过 manifest 端点正确限制仓库实例的内存分配大小。攻击者可发送特制的请求，耗尽 docker-distrubution 服务器的内存。(CVE-2017-11468)

リモートの Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS / 22.04 ESM ホストには、USN-6336-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Docker Distribution の 2.6.2 以前の Docker Registry では、ユーザーから受け入れるコンテンツの量を適切に制限していません。これにより、リモートの攻撃者が、マニフェストエンドポイントを通じてサービス拒否 (メモリ消費) を引き起こす可能性があります。(CVE-2017-11468)

  - distribution/distribution の「/v2/_catalog」エンドポイントで欠陥が見つかりました。これは、パラメーターを受け取り、返されるレコードの最大数を制御します (クエリ文字列:  「n」)。この脆弱性により、悪質なユーザーが「n」に不当に大きな値を送信し、大量の文字列配列の割り当てを引き起こし、メモリの過剰使用によるサービス拒否を引き起こす可能性があります。(CVE-2023-2253)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このdocker-distributionの更新では、次の問題が修正されます：

修正されたセキュリティ問題：

  - CVE-2017-11468：マニフェストエンドポイントを介したサービス拒否（メモリ消費）を修正しました（bsc#1049850）。

バグ修正：

  - bsc#1083474：docker-distirbution-registryが、更新で構成ファイルを上書きします。

  - bsc#1033172：必要なガベージコレクター - またはバージョン2.4でdocker-distribution-registryを正式にリリースします。

  - TCPポート5000用のSuSEfirewall2サービスファイルを追加します。

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
103039	RHEL 7 : docker-distribution (RHSA-2017:2603)	Nessus	Red Hat Local Security Checks	2017/9/8	2019/10/24	high
103039	RHEL 7：docker-distribution（RHSA-2017:2603）	Nessus	Red Hat Local Security Checks	2017/9/8	2019/10/24	high
108860	openSUSE Security Update : docker-distribution (openSUSE-2018-336)	Nessus	SuSE Local Security Checks	2018/4/6	2021/1/19	high
180473	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS / 22.04 ESM / 23.04 : Docker Registry vulnerabilities (USN-6336-1)	Nessus	Ubuntu Local Security Checks	2023/9/4	2023/10/16	high
180473	Ubuntu 16.04 ESM/18.04 ESM/20.04 LTS/22.04 ESM/23.04：Docker Registry 弱點 (USN-6336-1)	Nessus	Ubuntu Local Security Checks	2023/9/4	2023/10/16	high
103039	RHEL 7：docker-distribution (RHSA-2017:2603)	Nessus	Red Hat Local Security Checks	2017/9/8	2019/10/24	high
180473	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS / 22.04 ESM / 23.04：Docker Registry 漏洞 (USN-6336-1)	Nessus	Ubuntu Local Security Checks	2023/9/4	2023/10/16	high
103039	RHEL 7 : docker-distribution (RHSA-2017:2603)	Nessus	Red Hat Local Security Checks	2017/9/8	2019/10/24	high
180473	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS / 22.04 ESM / 23.04 : Docker Registry の脆弱性 (USN-6336-1)	Nessus	Ubuntu Local Security Checks	2023/9/4	2023/10/16	high
108860	openSUSEセキュリティ更新プログラム：docker-distribution（openSUSE-2018-336）	Nessus	SuSE Local Security Checks	2018/4/6	2021/1/19	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high