リモートのOracle Linux 7ホストには、ELSA-2020-5964アドバイザリに記載されている脆弱性の影響を受けたパッケージがインストールされています。

  -containerdは業界標準のコンテナランタイムであり、LinuxおよびWindows用のデーモンとして利用可能です。
    バージョン1.3.9および1.4.3より前のcontainerdでは、containerd-shim APIがホストネットワークコンテナに不適切に漏洩されています。shimsのAPIソケットのアクセスコントロールは、接続プロセスに有効な0のUIDがあることは検証しましたが、抽象Unixドメインソケットへのアクセスは制限していませんでした。このため、0という有効なUIDがあっても権限が制限されてshimと同じネットワーク名前空間で悪意のあるコンテナが実行され、昇格した権限で新しいプロセスが実行される可能性があります。この脆弱性は、containerd 1.3.9および1.4.3で修正されました。ユーザーは、これらのバージョンがリリースされ次第、更新する必要があります。実行中のコンテナはアップグレード後も脆弱であり続けるため、古いバージョンのcontainerd-shimで起動されたコンテナは停止および再起動する必要があります。信頼できないユーザーがshimと同じネットワーク名前空間でコンテナを開始する機能を提供しておらず（通常、ホストネットワーク名前空間、たとえばdocker run --net = hostまたはhostNetwork: Kubernetesポッドで有効）、0という有効なUIDで実行されている場合、この問題に対して脆弱ではありません。脆弱な構成のコンテナを実行している場合、deny unix addr = @ **に類似した行をポリシーに追加することで、AppArmorですべての抽象ソケットへのアクセスを拒否できます。権限のセットを減らして、ゼロ以外のUIDで、分離された名前空間でコンテナを実行することがベストプラクティスです。containerdのメンテナーは、名前空間をホストと共有しないことを強く推奨します。コンテナに使用される分離メカニズムのセットを減らすと、そのコンテナの実行にどのコンテナランタイムが使用されているかにかかわらず、コンテナの権限が必ず増加します。（CVE-2020-15257）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

LinuxコンテナランタイムであるDockerで複数のセキュリティの問題が発見されました。これにより、サービス拒否、情報漏洩、または権限昇格が発生する可能性があります。

リモートホストにインストールされている containerd のバージョンは 1.4.1-2 より前のものです。したがって、ALAS2ECS-2023-030 のアドバイザリに記載されている脆弱性の影響を受けます。

  - containerdは業界標準のコンテナランタイムであり、LinuxおよびWindows用のデーモンとして利用可能です。
    バージョン 1.3.9 および 1.4.3 より前の containerd では、containerd-shim API がホストネットワークコンテナに不適切に漏洩されています。shims の API ソケットのアクセスコントロールは、接続プロセスに有効な 0 の UID があることは検証しましたが、抽象 Unix ドメインソケットへのアクセスは制限していませんでした。このため、0 という有効な UID があっても権限が制限されて shim と同じネットワーク名前空間で悪意のあるコンテナが実行され、昇格した権限で新しいプロセスが実行される可能性があります。この脆弱性は、containerd 1.3.9および1.4.3で修正されました。ユーザーは、これらのバージョンがリリースされ次第、更新する必要があります。実行中のコンテナはアップグレード後も脆弱であり続けるため、古いバージョンの containerd-shim で起動されたコンテナは停止および再起動する必要があります。信頼できないユーザーが shim と同じネットワーク名前空間でコンテナを開始する機能を提供しておらず (通常、ホストネットワーク名前空間、たとえばdocker run --net = host または hostNetwork: Kubernetes ポッドで有効)、0 という有効な UID で実行されている場合、この問題に対して脆弱ではありません。脆弱な構成のコンテナを実行している場合、deny unix addr = @ ** に類似した行をポリシーに追加することで、AppArmor ですべての抽象ソケットへのアクセスを拒否できます。権限のセットを減らして、ゼロ以外の UID で、分離された名前空間でコンテナを実行することがベストプラクティスです。containerd のメンテナーは、名前空間をホストと共有しないことを強く推奨します。コンテナに使用される分離メカニズムのセットを減らすと、そのコンテナの実行にどのコンテナランタイムが使用されているかにかかわらず、コンテナの権限が必ず増加します。(CVE-2020-15257)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされているテスト済み製品のバージョンは、テスト済みバージョンより前です。したがって、ALAS-2020-1455のアドバイザリに記載されている脆弱性の影響を受けます。

  - shimのAPIソケットのアクセスコントロールは、接続プロセスに有効な0のUIDがあることは検証しましたが、抽象Unixドメインソケットへのアクセスは制限していませんでした。このため、0という有効なUIDがあっても権限が制限されてshimと同じネットワーク名前空間で悪意のあるコンテナが実行され、昇格した権限で新しいプロセスが実行される可能性があります。（CVE-2020-15257）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのUbuntu 16.04 LTS/18.04 LTS/20.04 LTS/20.10ホストには、USN-4653-2のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - containerdは業界標準のコンテナランタイムであり、LinuxおよびWindows用のデーモンとして利用可能です。
    バージョン1.3.9および1.4.3より前のcontainerdでは、containerd-shim APIがホストネットワークコンテナに不適切に漏洩されています。shimsのAPIソケットのアクセスコントロールは、接続プロセスに有効な0のUIDがあることは検証しましたが、抽象Unixドメインソケットへのアクセスは制限していませんでした。このため、0という有効なUIDがあっても権限が制限されてshimと同じネットワーク名前空間で悪意のあるコンテナが実行され、昇格した権限で新しいプロセスが実行される可能性があります。この脆弱性は、containerd 1.3.9および1.4.3で修正されました。ユーザーは、これらのバージョンがリリースされ次第、更新する必要があります。実行中のコンテナはアップグレード後も脆弱であり続けるため、古いバージョンの containerd-shim で起動されたコンテナは停止および再起動する必要があります。信頼できないユーザーが shim と同じネットワーク名前空間でコンテナを開始する機能を提供しておらず (通常、ホストネットワーク名前空間、たとえばdocker run --net = host または hostNetwork: Kubernetes ポッドで有効)、0 という有効な UID で実行されている場合、この問題に対して脆弱ではありません。脆弱な構成のコンテナを実行している場合、deny unix addr = @ ** に類似した行をポリシーに追加することで、AppArmor ですべての抽象ソケットへのアクセスを拒否できます。権限のセットを減らして、ゼロ以外の UID で、分離された名前空間でコンテナを実行することがベストプラクティスです。containerd のメンテナーは、名前空間をホストと共有しないことを強く推奨します。コンテナに使用される分離メカニズムのセットを減らすと、そのコンテナの実行にどのコンテナランタイムが使用されているかにかかわらず、コンテナの権限が必ず増加します。(CVE-2020-15257)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

以下のためのセキュリティ修正 CVE-2020-15257

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このcontainerd、docker、docker-runc、golang-github-docker-libnetworkの更新では、次の問題が修正されます：

キャッシュサイドチャネル攻撃の軽減：

CVE-2020-15257：containerdの権限昇格を修正しました（bsc#1178969）。

CVE-2021-21284：再マッピングされた名前空間のrootユーザーがホストファイルシステムへのアクセス権を持っている場合、権限昇格が発生する可能性があります（bsc#1181732）

CVE-2021-21285：無効な形式のDockerイメージマニフェストをプルすると、dockerdデーモンがクラッシュします（bsc#1181730）

セキュリティ以外の修正された問題：

Dockerを19.03.15-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。この更新は、bsc#1181732（CVE-2021-21284）およびbsc#1181730（CVE-2021-21285）の修正を含みます。

openSUSEでのfirewalldの処理にboo#1178801 libnetworkパッチのみを適用します。SLESはパッチを好まないようです。（bsc#1180401）

containerd v1.3.9に更新します。これはDocker v19.03.14-ceに必要で、CVE-2020-15257を修正します。 bsc#1180243

Docker 19.03.13-ceに必要なcontainerd v1.3.7に更新します。
bsc#1176708

Docker 19.03.14-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。 CVE-2020-15257 bsc#1180243 https://github.com/docker/docker-ce/releases/tag/v19.03.14

fish-completionを有効にします

Dockerとnftablesバックエンドを備えたfirewalldとの互換性を確保するパッチを追加します。https://github.com/moby/libnetwork/pull/2548のバックポート（bsc#1178801、SLE-16460）

Docker 19.03.13-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。 bsc#1176708

%_libexecdirが/usr/libexecに変更されるのを修正します（bsc#1174075）

緊急修正：%requires_eqは、提供シンボルでは機能せず、パッケージ名のみ有効です。通常のRequiresに戻します。

Docker 19.03.12-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。

Go 1.14の代わりにGo 1.13を使用します。Go 1.14を使用すると、Goが頻繁にI/Oシステムコールから-EINTRを返すため、あらゆる種類の偽のエラーが発生する可能性があります（Go 1.14がプリエンプティブなgoroutineをサポートするため）。

欠落している依存関係をより素早くキャッチできるように、すべての-git依存関係に対してBuildRequiresを追加します。

Docker 19.03.14-ceに必要なlibnetwork 55e924b8a842に更新します。 bsc#1180243

libnetworkとnftablesバックエンドを備えたfirewalldとの互換性を確保するパッチを追加します。https://github.com/moby/libnetwork/pull/2548のバックポート（bsc#1178801、SLE-16460）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートのUbuntu 16.04 LTS/18.04 LTS/20.04 LTS/20.10ホストには、USN-4653-1のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートの Oracle Linux 7 ホストに、ELSA-2020-5966 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - containerd は業界標準のコンテナランタイムであり、Linux および Windows 用のデーモンとして利用可能です。
    バージョン 1.3.9 および 1.4.3 より前の containerd では、containerd-shim API がホストネットワークコンテナに不適切に漏洩されています。shims の API ソケットのアクセスコントロールは、接続プロセスに有効な 0 の UID があることは検証しましたが、抽象 Unix ドメインソケットへのアクセスは制限していませんでした。このため、0という有効なUIDがあっても権限が制限されてshimと同じネットワーク名前空間で悪意のあるコンテナが実行され、昇格した権限で新しいプロセスが実行される可能性があります。この脆弱性は、containerd 1.3.9および1.4.3で修正されました。ユーザーは、これらのバージョンがリリースされ次第、更新する必要があります。実行中のコンテナはアップグレード後も脆弱であり続けるため、古いバージョンの containerd-shim で起動されたコンテナは停止および再起動する必要があります。信頼できないユーザーが shim と同じネットワーク名前空間でコンテナを開始する機能を提供しておらず (通常、ホストネットワーク名前空間、たとえばdocker run --net = host または hostNetwork: Kubernetes ポッドで有効)、0 という有効な UID で実行されている場合、この問題に対して脆弱ではありません。脆弱な構成のコンテナを実行している場合、deny unix addr = @ ** に類似した行をポリシーに追加することで、AppArmor ですべての抽象ソケットへのアクセスを拒否できます。権限のセットを減らして、ゼロ以外の UID で、分離された名前空間でコンテナを実行することがベストプラクティスです。containerd のメンテナーは、名前空間をホストと共有しないことを強く推奨します。コンテナに使用される分離メカニズムのセットを減らすと、そのコンテナの実行にどのコンテナランタイムが使用されているかにかかわらず、コンテナの権限が必ず増加します。(CVE-2020-15257)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存していることに注意してください。

このcontainerd、docker、docker-runc、golang-github-docker-libnetworkの更新では、次の問題が修正されます：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2020-15257：containerdの権限昇格を修正しました（bsc#1178969）。

  - CVE-2021-21284：再マッピングされた名前空間のrootユーザーがホストファイルシステムへのアクセス権を持っている場合、権限昇格が発生する可能性があります（bsc#1181732）

  - CVE-2021-21285：無効な形式のDockerイメージマニフェストをプルすると、dockerdデーモンがクラッシュします（bsc#1181730）

セキュリティ以外の修正された問題：

  - Dockerを19.03.15-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。この更新は、bsc#1181732（CVE-2021-21284）およびbsc#1181730（CVE-2021-21285）の修正を含みます。

  - openSUSEでのfirewalldの処理にboo#1178801 libnetworkパッチのみを適用します。SLESはパッチを好まないようです。（bsc#1180401）

  - containerd v1.3.9に更新します。これはDocker v19.03.14-ceに必要で、CVE-2020-15257を修正します。 bsc#1180243

  - Docker 19.03.13-ceに必要なcontainerd v1.3.7に更新します。 bsc#1176708

  - Docker 19.03.14-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。
    CVE-2020-15257 bsc#1180243 https://github.com/docker/docker-ce/releases/tag/v19.03.14

  - fish-completionを有効にします

  - Dockerとnftablesバックエンドを備えたfirewalldとの互換性を確保するパッチを追加します。https://github.com/moby/libnetwork/pull/2548(bsc#1178801のバックポート、SLE-16460）

  - Docker 19.03.13-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。 bsc#1176708

  - %_libexecdirが/usr/libexecに変更されるのを修正します（bsc#1174075）

  - 緊急修正：%requires_eqは、提供シンボルでは機能せず、パッケージ名のみ有効です。通常のRequiresに戻します。

  - Docker 19.03.12-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。

  - Go 1.14の代わりにGo 1.13を使用します。Go 1.14を使用すると、Goが頻繁にI/Oシステムコールから-EINTRを返すため、あらゆる種類の偽のエラーが発生する可能性があります（Go 1.14がプリエンプティブなgoroutineをサポートするため）。

  - 欠落している依存関係をより素早くキャッチできるように、すべての-git依存関係に対してBuildRequiresを追加します。

  - Docker 19.03.14-ceに必要なlibnetwork 55e924b8a842に更新します。 bsc#1180243

  - libnetworkとnftablesバックエンドを備えたfirewalldとの互換性を確保するパッチを追加します。https://github.com/moby/libnetwork/pull/2548(bsc#1178801のバックポート、SLE-16460）

この更新はSUSEからインポートされました：SLE-15: 更新プロジェクトを更新します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
143451	Oracle Linux 7: containerd（ELSA-2020-5964）	Nessus	Oracle Linux Local Security Checks	2020/12/3	2024/2/7	medium
146922	DebianDSA-4865-1：docker.io - セキュリティ更新	Nessus	Debian Local Security Checks	2021/3/1	2024/1/18	medium
185923	Amazon Linux 2: containerd (ALASECS-2023-030)	Nessus	Amazon Linux Local Security Checks	2023/11/16	2023/11/17	medium
143367	Amazon Linux AMI：containerd（ALAS-2020-1455）	Nessus	Amazon Linux Local Security Checks	2020/11/30	2024/2/7	medium
145013	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS : containerdの脆弱性 (USN-4653-2)	Nessus	Ubuntu Local Security Checks	2021/1/14	2023/10/20	medium
144042	Fedora 33：containerd（2020-baeb8dbaea）	Nessus	Fedora Local Security Checks	2020/12/10	2024/2/2	medium
146460	SUSE SLES15セキュリティ更新プログラム：containerd、docker、docker-runc、golang-github-docker-libnetwork（SUSE-SU-2021:0435-1）	Nessus	SuSE Local Security Checks	2021/2/12	2024/1/22	medium
143373	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS : containerdの脆弱性 (USN-4653-1)	Nessus	Ubuntu Local Security Checks	2020/12/1	2023/10/21	medium
143486	Oracle Linux 7: docker-cli / docker-engine（ELSA-2020-5966）	Nessus	Oracle Linux Local Security Checks	2020/12/4	2024/2/7	medium
146506	openSUSEセキュリティ更新プログラム：containerd/docker/docker-runc/etc（openSUSE-2021-278）	Nessus	SuSE Local Security Checks	2021/2/16	2024/1/22	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium