リモート Redhat Enterprise Linux 7 ホストに、RHSA-2018:2908 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - atomic-openshift: json の oc パッチにより、masterapi サービスがクラッシュします (CVE-2018-14632)

  - kubernetes: 非 101 応答の処理における認証/承認バイパス (CVE-2018-1002105)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Red Hat OpenShift Container Platformリリース3.10.66が利用可能になりました。これには、いくつかのセキュリティとバグを修正し、拡張機能を追加するパッケージとイメージの更新が含まれています。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。このアドバイザリには、Red Hat OpenShift Container Platform 3.10.66のRPMパッケージが含まれています。このリリースのコンテナイメージについては、次のアドバイザリを参照してください：https://access.redhat.com/errata/RHBA-2018:2824 セキュリティ修正プログラム：* atomic-openshift：jsonのocパッチにより、masterapiサービスがクラッシュする（CVE-2018-14632）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、この問題を報告してくれたLars Haugan氏に感謝の意を表します。すべてのOpenShift Container Platform 3.10ユーザーは、これらの更新済みパッケージとイメージにアップグレードすることが推奨されます。セキュリティ修正プログラム：* etcdのスケールアップ中に新しいホストを追加するには、etcdクラスターに関する情報が必要です。このバグ修正により、新しいホストを構成する前にこれらの情報を設定するタスクを完了することが必要になるため、想定どおりにスケールアップを完了できます。（BZ#1578482）* 以前は、Prometheusのインストールで使用可能なノードがあるかどうか確認するときに同期ポッドを使用できませんでした。そのため、Prometheusのインストールでカスタムラベルを使用して適切なノードを選択する場合、同期ポッドはそのラベルをすでにノードに適用している必要があります。適用していない場合、Prometheusインストーラーは一致するラベルを持つノードを見つけられません。このバグ修正により、インストールプロセスにチェックが追加され、インストールを続行する前に同期ポッドが利用可能になるまで待機するようになります。その結果、ノードのラベリングプロセスは完了し、ノードにはPrometheusポッドをスケジュールする正しいラベルが付けられます。（BZ#1609019）* このバグ修正により、XFSファイルシステムにマウントされたFlexVolumeのI/Oエラーが原因でポッドが停止したままになる問題が修正されました。（BZ#1626054）* 以前、fluentdは「OneEventStream」クラスを使って内部的にイベントを生成していました。このクラスには「empty?」メソッドがありません。Kubernetesメタデータフィルターは、空のストリームの処理を回避するため「EventStream」オブジェクトの「empty?」メソッドを使用していました。fluentdは「empty?」メソッドがないことに関するエラーメッセージを発行しますが、これによりコンテナログが満杯になり、ディスクの問題を引き起こしました。このバグ修正により、Kubernetesメタデータフィルターは「empty?」メソッドを持つオブジェクトでのみこのメソッドを呼び出すように変更されました。その結果、fluentdログにこのメッセージは含まれません。（BZ#1626552）* RubyGems FFI 1.9.25では、「SELinux deny_execmem=1」のシステムで動作するようにパッチを元に戻しました。この復帰により、fluentdがクラッシュしました。このバグ修正では、パッチの復帰を元に戻しました。その結果、「SELinux deny_execmem=1」を使用してもfluentdはクラッシュしなくなりました。（BZ#1628405）* このバグ修正により、*_redeploy-openshift-ca.yml_*プレイブックは正しいノードクライアント証明書ファイル「node/client-ca.crt」を参照するように更新されました。（BZ#1628546）* BZ1628371の修正により、シンボルが不足している不完全な共有ライブラリが導入されました。この不足しているシンボルが原因で、fluentdは「undefined symbol: rbffi_Closure_Alloc」エラーメッセージを表示してクラッシュしました。このバグ修正により、共有ライブラリは正しいシンボルで再ビルドされます。その結果、fluentdはクラッシュしなくなります。（BZ#1628798）* 以前は、journaldログドライバーでDockerを使用すると、システムやプレーンDockerコンテナのログを含むすべてのコンテナログがジャーナルに記録され、fluentdによって読み取られていました。fluentdはこれらのKubernetes以外のコンテナログの処理方法がわからず例外をスローしました。このバグ修正により、Kubernetes以外のコンテナログは他のシステムサービスからのログとして処理されます（.operations.*インデックスに送信される、など）。その結果、Kubernetes以外のコンテナからのログは正しくインデックス化され、エラーが発生しなくなります。（BZ#1632361）

Red Hat OpenShift Container Platformリリース3.7の更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。セキュリティ修正プログラム：* OpenShift Container Platform 3.xに権限昇格の脆弱性があります。これにより、通常のユーザー権限でスケジュールされている計算ノードで実行中のポッドが侵害される可能性があります。このアクセスには、特権コンテナ内を含むすべての秘密情報、ポッド、環境変数、実行中のポッド/コンテナプロセス、永続的なボリュームへのアクセスが含まれます。さらに、OpenShift Container Platformのバージョン3.6以降では、この脆弱性により、集約APIサーバーでホストされている任意のAPIに、クラスター管理者レベルでアクセスされる可能性があります。これには、3.7以降ではデフォルトでインストールされる「servicecatalog」APIが含まれます。クラスター管理者レベルでサービスカタログにアクセスすると、認証されていないユーザーが昇格された権限で、任意の名前空間や任意のノードでブローカーサービスを作成できます。これにより、攻撃者が悪意のあるコードを展開したり、既存のサービスを改ざんしたりする可能性があります。（CVE-2018-1002105）* atomic-openshift：jsonのocパッチによるmasterapiサービスのクラッシュ（CVE-2018-14632）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、CVE-2018-14632を報告してくれたLars Haugan氏に感謝の意を表します。スペースの関係上、すべてのバグ修正と拡張がこのアドバイザリに記載されているわけではありません。これらの変更の詳細については、次のリリースノートのドキュメントを参照してください：https://docs.openshift.com/container-platform/3.7/release_notes/ ocp_3_7_release_notes.html：OpenShift Container Platform 3.7のすべてのユーザーは、これらの更新済みパッケージとイメージにアップグレードすることが推奨されます。

Red Hat OpenShift Container Platformリリース3.6.173.0.130では、1つのセキュリティの問題といくつかのバグを修正するパッケージへの更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。このアドバイザリには、Red Hat OpenShift Container Platform 3.6.173.0.130のRPMパッケージが含まれています。このリリースのコンテナイメージについては、次のアドバイザリを参照してください：https://access.redhat.com/errata/RHBA-2018:2655 この更新では、次のバグが修正されます：* atomic-openshift：jsonのocパッチにより、masterapiサービスがクラッシュする（CVE-2018-14632）OpenShift Container Platform 3.6のすべてのユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、この問題を報告してくれたLars Haugan氏に感謝の意を表します。バグ修正プログラム：* オブジェクト競合の問題を回避するため、shared-resource-viewer更新ロジックに再試行が追加されました。（BZ#1507119）* 証明書有効期限プレイブック実行エラー（BZ#1509859）* Ansible 2.2.3でクリーンアップのためのメトリクスプレイブックを実行すると、無効な値を含むフィールド「args」に関するエラーが発生します（BZ#1550680）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
119407	RHEL 7 : OpenShift Container Platform 3.9 (RHSA-2018:2908)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/4/24	critical
119405	RHEL 7：Red Hat OpenShift Container Platform 3.10（RHSA-2018:2709）	Nessus	Red Hat Local Security Checks	2018/12/4	2024/4/27	high
119406	RHEL 7：OpenShift Container Platform 3.7（RHSA-2018:2906）	Nessus	Red Hat Local Security Checks	2018/12/4	2024/4/27	critical
119404	RHEL 7：OpenShift Container Platform 3.6（RHSA-2018:2654）	Nessus	Red Hat Local Security Checks	2018/12/4	2024/4/27	high

検出

プラグインの検索

critical

high

critical

high