リモートホストにインストールされているKubernetesのバージョンは、1.11.8より前のバージョン1.x、1.12.6より前の1.12.x、または1.13.4より前の1.13.xです。したがって、APIサーバーではサービス拒否の脆弱性の影響を受けます。認証されたリモートの攻撃者がこれを悪用し、タイプjson-patchの特別に細工されたパッチリクエストを使用して、APIサーバーの応答を停止させる可能性があります。

atomic-openshiftおよびjenkins-2-pluginsの更新プログラムが、Red Hat OpenShift Container Platform 3.11で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。セキュリティ修正プログラム：* web-console：OAuthサーバー/oauth/token/リクエストエンドポイントのXSS（CVE-2019-3876）* jenkins-plugin-token-macro：${XML}マクロを処理するXML外部エンティティ（CVE-2019-10337）* kube-apiserver：タイプjson-patchの細工されたパッチによるDoS（CVE-2019-1002100）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモート Red Hat Enterprise Linux CoreOS 3 ホストに、RHSA-2019:1851 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - ウェブコンソール:OAuthサーバー内のXSS /oauth/token/requestエンドポイント(CVE-2019-3876)

  - jenkins-plugin-token-macro: ${XML}マクロ(CVE-2019-10337)を処理するXML外部エンティティ

  - kube-apiserver:json-patch(CVE-2019-1002100)型のクラフトパッチを用いたDoS(DoS)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Red Hat Enterprise Linux CoreOS 3 ホストに、RHSA-2019:3239 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - kubernetes: CVE-2019-1002101 および CVE-2019-11246の不完全な修正、kubectl cp 潜在的ディレクトリ巡査(CVE-2019-11249)

  - kubernetes:Billion Laughs攻撃に脆弱なYAML解析を行い、リモートでのサービス拒否を可能にする(CVE-2019-11253)

  - kube-apiserver:json-patch(CVE-2019-1002100)型のクラフトパッチを用いたDoS(DoS)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

atomic-openshiftの更新プログラムが、Red Hat OpenShift Container Platform 3.10で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要と評価しています。詳細な重大度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。セキュリティ修正プログラム：* kubernetes：YAML解析は「Billion Laughs」攻撃に対して脆弱であり、リモートでのサービス拒否を引き起こす可能性があります（CVE-2019-11253）* kubernetes：CVE-2019-1002101とCVE-2019-11246の不完全な修正、kubectl cpの潜在的ディレクトリ横断（CVE-2019-11249）* kube-apiserver：json-patch型のパッチを細工することによるDoS（CVE-2019-1002100）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - v1.11.8、v1.12.6、v1.13.4 より前のすべての Kubernetes バージョンでは、Kubernetes API サーバーにパッチリクエストを行う権限があるユーザーが、タイプ json-patch の特別に細工されたパッチを送信する可能性があります。
    「kubectl patch --type json」または「Content-Type: application/json-patch+json」を介して、処理中に過剰なリソースを消費し、API サーバーでサービス拒否を引き起こします。CVE-2019-1002100

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
123831	Kubernetes 1.x < 1.11.8/1.12.x < 1.12.6/1.13.x < 1.13.4のAPIサーバーのDOS	Nessus	CGI abuses	2019/4/9	2022/4/11	medium
127032	RHEL 7：OpenShift Container Platform 3.11（RHSA-2019:1851）	Nessus	Red Hat Local Security Checks	2019/7/25	2024/11/6	medium
312505	RHCOS 3 : OpenShift Container Platform 3.11 (RHSA-2019:1851)	Nessus	Red Hat Local Security Checks	2026/5/6	2026/5/6	medium
312484	RHCOS 3 : OpenShift コンテナプラットフォーム 3.10 atomic-openshift (RHSA-2019:3239)	Nessus	Red Hat Local Security Checks	2026/5/6	2026/5/6	medium
130384	RHEL 7：OpenShift Container Platform 3.10 atomic-openshift（RHSA-2019:3239）	Nessus	Red Hat Local Security Checks	2019/10/30	2024/11/6	medium
251192	Linux Distros のパッチ未適用の脆弱性: CVE-2019-1002100	Nessus	Misc.	2025/8/18	2026/9/2	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium