このcontainerd、docker、docker-runc、golang-github-docker-libnetworkの更新では、次の問題が修正されます：

キャッシュサイドチャネル攻撃の軽減：

CVE-2020-15257：containerdの権限昇格を修正しました（bsc#1178969）。

CVE-2021-21284：再マッピングされた名前空間のrootユーザーがホストファイルシステムへのアクセス権を持っている場合、権限昇格が発生する可能性があります（bsc#1181732）

CVE-2021-21285：無効な形式のDockerイメージマニフェストをプルすると、dockerdデーモンがクラッシュします（bsc#1181730）

セキュリティ以外の修正された問題：

Dockerを19.03.15-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。この更新は、bsc#1181732（CVE-2021-21284）およびbsc#1181730（CVE-2021-21285）の修正を含みます。

openSUSEでのfirewalldの処理にboo#1178801 libnetworkパッチのみを適用します。SLESはパッチを好まないようです。（bsc#1180401）

containerd v1.3.9に更新します。これはDocker v19.03.14-ceに必要で、CVE-2020-15257を修正します。 bsc#1180243

Docker 19.03.13-ceに必要なcontainerd v1.3.7に更新します。
bsc#1176708

Docker 19.03.14-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。 CVE-2020-15257 bsc#1180243 https://github.com/docker/docker-ce/releases/tag/v19.03.14

fish-completionを有効にします

Dockerとnftablesバックエンドを備えたfirewalldとの互換性を確保するパッチを追加します。https://github.com/moby/libnetwork/pull/2548のバックポート（bsc#1178801、SLE-16460）

Docker 19.03.13-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。 bsc#1176708

%_libexecdirが/usr/libexecに変更されるのを修正します（bsc#1174075）

緊急修正：%requires_eqは、提供シンボルでは機能せず、パッケージ名のみ有効です。通常のRequiresに戻します。

Docker 19.03.12-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。

Go 1.14の代わりにGo 1.13を使用します。Go 1.14を使用すると、Goが頻繁にI/Oシステムコールから-EINTRを返すため、あらゆる種類の偽のエラーが発生する可能性があります（Go 1.14がプリエンプティブなgoroutineをサポートするため）。

欠落している依存関係をより素早くキャッチできるように、すべての-git依存関係に対してBuildRequiresを追加します。

Docker 19.03.14-ceに必要なlibnetwork 55e924b8a842に更新します。 bsc#1180243

libnetworkとnftablesバックエンドを備えたfirewalldとの互換性を確保するパッチを追加します。https://github.com/moby/libnetwork/pull/2548のバックポート（bsc#1178801、SLE-16460）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1954-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  -バージョン 9.03.15、20.10.3 より前の Docker には、--userns-remap オプションに関連する脆弱性があり、再マップされた root へのアクセスにより、実際の root への権限昇格が可能になります。--userns-remap を使用する際、再マップされた名前空間の root ユーザーがホストファイルシステムにアクセスできる場合、拡張された権限でファイルの書き込みを引き起こす /var/lib/docker/ 下のファイルを変更できます。バージョン 20.10.3および 19.03.15には、ユーザーの再マップによる権限昇格を防ぐパッチが含まれています。(CVE-2021-21284)

  -バージョン 9.03.15、 20.10.3より前の Docker には、意図的に無効な形式の Docker イメージマニフェストをプルすると dockerd デーモンがクラッシュする脆弱性があります。バージョン 20.10.3および 19.03.15には、デーモンのクラッシュを防ぐパッチが含まれています。(CVE-2021-21285)

  バージョン1.3.10以前および1.4.4のcontainerd (業界標準のコンテナランタイム)において、同じイメージを共有するcontainerdのCRI実装を介して(Kubernetes、crictl、またはcontainerd CRIサービスを使用するその他のポッド/コンテナクライアントを介して)起動するコンテナは、正しくない環境変数(他のコンテナに対して定義されている値を含む)を受け取ることがあります。影響を受けるコンテナに異なるセキュリティコンテキストがある場合、これが原因で秘密情報が意図せずに共有される可能性があります。(上記のメカニズムのいずれかを介して)containerdのCRI実装を使用していない場合は、この問題に対して脆弱ではありません。異なる環境変数を持つ、同一イメージからの複数のコンテナまたはKubernetesポッドを起動しない場合、この問題に対して脆弱ではありません。同一イメージからの複数のコンテナまたはKubernetesポッドを迅速に連続して起動しない場合、この問題に対して脆弱である可能性が低くなります。この脆弱性は、containerd 1.3.10 およびcontainerd 1.4.4で修正されました。ユーザーはこれらのバージョンに更新する必要があります。(CVE-2021-21334)

  - 1.0.0-rc95より前のruncでは、ディレクトリトラバーサルによってコンテナファイルシステムのブレークアウトが発生する可能性があります。攻撃者がこの脆弱性を悪用するには、かなり特殊なマウント構成で複数のコンテナを作成できなければなりません。この問題は、競合状態に依存するシンボリックリンク交換攻撃によって発生します。
    (CVE-2021-30465)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

LinuxコンテナランタイムであるDockerで複数のセキュリティの問題が発見されました。これにより、サービス拒否、情報漏洩、または権限昇格が発生する可能性があります。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:0878-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  -バージョン 9.03.15、20.10.3 より前の Docker には、--userns-remap オプションに関連する脆弱性があり、再マップされた root へのアクセスにより、実際の root への権限昇格が可能になります。--userns-remap を使用する際、再マップされた名前空間の root ユーザーがホストファイルシステムにアクセスできる場合、拡張された権限でファイルの書き込みを引き起こす /var/lib/docker/ 下のファイルを変更できます。バージョン 20.10.3および 19.03.15には、ユーザーの再マップによる権限昇格を防ぐパッチが含まれています。(CVE-2021-21284)

  -バージョン 9.03.15、 20.10.3より前の Docker には、意図的に無効な形式の Docker イメージマニフェストをプルすると dockerd デーモンがクラッシュする脆弱性があります。バージョン 20.10.3および 19.03.15には、デーモンのクラッシュを防ぐパッチが含まれています。(CVE-2021-21285)

  バージョン1.3.10以前および1.4.4のcontainerd (業界標準のコンテナランタイム)において、同じイメージを共有するcontainerdのCRI実装を介して(Kubernetes、crictl、またはcontainerd CRIサービスを使用するその他のポッド/コンテナクライアントを介して)起動するコンテナは、正しくない環境変数(他のコンテナに対して定義されている値を含む)を受け取ることがあります。影響を受けるコンテナに異なるセキュリティコンテキストがある場合、これが原因で秘密情報が意図せずに共有される可能性があります。(上記のメカニズムのいずれかを介して)containerdのCRI実装を使用していない場合は、この問題に対して脆弱ではありません。異なる環境変数を持つ、同一イメージからの複数のコンテナまたはKubernetesポッドを起動しない場合、この問題に対して脆弱ではありません。同一イメージからの複数のコンテナまたはKubernetesポッドを迅速に連続して起動しない場合、この問題に対して脆弱である可能性が低くなります。この脆弱性は、containerd 1.3.10 およびcontainerd 1.4.4で修正されました。ユーザーはこれらのバージョンに更新する必要があります。(CVE-2021-21334)

  - 1.0.0-rc95より前のruncでは、ディレクトリトラバーサルによってコンテナファイルシステムのブレークアウトが発生する可能性があります。攻撃者がこの脆弱性を悪用するには、かなり特殊なマウント構成で複数のコンテナを作成できなければなりません。この問題は、競合状態に依存するシンボリックリンク交換攻撃によって発生します。
    (CVE-2021-30465)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされているdockerのバージョンは、20.10.7-2.69より前のものです。したがって、ALAS-2021-1550のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  -バージョン 9.03.15、20.10.3 より前の Docker には、--userns-remap オプションに関連する脆弱性があり、再マップされた root へのアクセスにより、実際の root への権限昇格が可能になります。--userns-remapを使用する際、再マップされた名前空間の root ユーザーがホストファイルシステムにアクセスできる場合、拡張された権限でファイルの書き込みを引き起こす /var/lib/docker/ <remapping>下のファイルを変更できます。バージョン 20.10.3および 19.03.15には、ユーザーの再マップによる権限昇格を防ぐパッチが含まれています。(CVE-2021-21284)

  -バージョン 9.03.15、 20.10.3より前の Docker には、意図的に無効な形式の Docker イメージマニフェストをプルすると dockerd デーモンがクラッシュする脆弱性があります。バージョン 20.10.3および 19.03.15には、デーモンのクラッシュを防ぐパッチが含まれています。(CVE-2021-21285)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

このcontainerd、docker、docker-runc、golang-github-docker-libnetworkの更新では、次の問題が修正されます：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2020-15257：containerdの権限昇格を修正しました（bsc#1178969）。

  - CVE-2021-21284：再マッピングされた名前空間のrootユーザーがホストファイルシステムへのアクセス権を持っている場合、権限昇格が発生する可能性があります（bsc#1181732）

  - CVE-2021-21285：無効な形式のDockerイメージマニフェストをプルすると、dockerdデーモンがクラッシュします（bsc#1181730）

セキュリティ以外の修正された問題：

  - Dockerを19.03.15-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。この更新は、bsc#1181732（CVE-2021-21284）およびbsc#1181730（CVE-2021-21285）の修正を含みます。

  - openSUSEでのfirewalldの処理にboo#1178801 libnetworkパッチのみを適用します。SLESはパッチを好まないようです。（bsc#1180401）

  - containerd v1.3.9に更新します。これはDocker v19.03.14-ceに必要で、CVE-2020-15257を修正します。 bsc#1180243

  - Docker 19.03.13-ceに必要なcontainerd v1.3.7に更新します。 bsc#1176708

  - Docker 19.03.14-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。
    CVE-2020-15257 bsc#1180243 https://github.com/docker/docker-ce/releases/tag/v19.03.14

  - fish-completionを有効にします

  - Dockerとnftablesバックエンドを備えたfirewalldとの互換性を確保するパッチを追加します。https://github.com/moby/libnetwork/pull/2548(bsc#1178801のバックポート、SLE-16460）

  - Docker 19.03.13-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。 bsc#1176708

  - %_libexecdirが/usr/libexecに変更されるのを修正します（bsc#1174075）

  - 緊急修正：%requires_eqは、提供シンボルでは機能せず、パッケージ名のみ有効です。通常のRequiresに戻します。

  - Docker 19.03.12-ceに更新します。パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。

  - Go 1.14の代わりにGo 1.13を使用します。Go 1.14を使用すると、Goが頻繁にI/Oシステムコールから-EINTRを返すため、あらゆる種類の偽のエラーが発生する可能性があります（Go 1.14がプリエンプティブなgoroutineをサポートするため）。

  - 欠落している依存関係をより素早くキャッチできるように、すべての-git依存関係に対してBuildRequiresを追加します。

  - Docker 19.03.14-ceに必要なlibnetwork 55e924b8a842に更新します。 bsc#1180243

  - libnetworkとnftablesバックエンドを備えたfirewalldとの互換性を確保するパッチを追加します。https://github.com/moby/libnetwork/pull/2548(bsc#1178801のバックポート、SLE-16460）

この更新はSUSEからインポートされました：SLE-15: 更新プロジェクトを更新します。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2021:1954-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  -バージョン 9.03.15、20.10.3 より前の Docker には、--userns-remap オプションに関連する脆弱性があり、再マップされた root へのアクセスにより、実際の root への権限昇格が可能になります。--userns-remapを使用する際、再マップされた名前空間の root ユーザーがホストファイルシステムにアクセスできる場合、拡張された権限でファイルの書き込みを引き起こす /var/lib/docker/ <remapping>下のファイルを変更できます。バージョン 20.10.3および 19.03.15には、ユーザーの再マップによる権限昇格を防ぐパッチが含まれています。(CVE-2021-21284)

  -バージョン 9.03.15、 20.10.3より前の Docker には、意図的に無効な形式の Docker イメージマニフェストをプルすると dockerd デーモンがクラッシュする脆弱性があります。バージョン 20.10.3および 19.03.15には、デーモンのクラッシュを防ぐパッチが含まれています。(CVE-2021-21285)

  バージョン1.3.10以前および1.4.4のcontainerd (業界標準のコンテナランタイム)において、同じイメージを共有するcontainerdのCRI実装を介して(Kubernetes、crictl、またはcontainerd CRIサービスを使用するその他のポッド/コンテナクライアントを介して)起動するコンテナは、正しくない環境変数(他のコンテナに対して定義されている値を含む) を受け取ることがあります。影響を受けるコンテナに異なるセキュリティコンテキストがある場合、これが原因で秘密情報が意図せずに共有される可能性があります。(上記のメカニズムのいずれかを介して)containerdのCRI実装を使用していない場合は、この問題に対して脆弱ではありません。異なる環境変数を持つ、同一イメージからの複数のコンテナまたはKubernetesポッドを起動しない場合、この問題に対して脆弱ではありません。同一イメージからの複数のコンテナまたはKubernetesポッドを迅速に連続して起動しない場合、この問題に対して脆弱である可能性が低くなります。この脆弱性は、containerd 1.3.10 およびcontainerd 1.4.4で修正されました。ユーザーはこれらのバージョンに更新する必要があります。(CVE-2021-21334)

  - 1.0.0-rc95 より前の runc では、ディレクトリトラバーサルによってコンテナファイルシステムのブレークアウトが発生する可能性があります。攻撃者がこの脆弱性を悪用するには、かなり特殊なマウント構成で複数のコンテナを作成できなければなりません。この問題は、競合状態に依存するシンボリックリンク交換攻撃によって発生します。
    (CVE-2021-30465)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている docker のバージョンは、20.10.4-1より前のものです。したがって、ALAS2ECS-2023-015のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  -バージョン 9.03.15、20.10.3 より前の Docker には、--userns-remap オプションに関連する脆弱性があり、再マップされた root へのアクセスにより、実際の root への権限昇格が可能になります。--userns-remapを使用する際、再マップされた名前空間の root ユーザーがホストファイルシステムにアクセスできる場合、拡張された権限でファイルの書き込みを引き起こす /var/lib/docker/ <remapping>下のファイルを変更できます。バージョン 20.10.3および 19.03.15には、ユーザーの再マップによる権限昇格を防ぐパッチが含まれています。(CVE-2021-21284)

  -バージョン 9.03.15、 20.10.3より前の Docker には、意図的に無効な形式の Docker イメージマニフェストをプルすると dockerd デーモンがクラッシュする脆弱性があります。バージョン 20.10.3および 19.03.15には、デーモンのクラッシュを防ぐパッチが含まれています。(CVE-2021-21285)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
146460	SUSE SLES15セキュリティ更新プログラム：containerd、docker、docker-runc、golang-github-docker-libnetwork（SUSE-SU-2021:0435-1）	Nessus	SuSE Local Security Checks	2021/2/12	2024/1/22	medium
151692	openSUSE 15 セキュリティ更新 : containerd、docker、runc (openSUSE-SU-2021:1954-1)	Nessus	SuSE Local Security Checks	2021/7/16	2021/7/16	high
146922	DebianDSA-4865-1：docker.io - セキュリティ更新	Nessus	Debian Local Security Checks	2021/3/1	2024/1/18	medium
151074	openSUSE 15 セキュリティ更新 : containerd、docker、runc (openSUSE-SU-2021:0878-1)	Nessus	SuSE Local Security Checks	2021/6/28	2021/6/28	high
155354	Amazon Linux AMI : docker (ALAS-2021-1550)	Nessus	Amazon Linux Local Security Checks	2021/11/15	2021/11/15	medium
146506	openSUSEセキュリティ更新プログラム：containerd/docker/docker-runc/etc（openSUSE-2021-278）	Nessus	SuSE Local Security Checks	2021/2/16	2024/1/22	medium
150729	SUSE SLES15セキュリティ更新プログラム: containerd、docker、runc (SUSE-SU-2021:1954-1)	Nessus	SuSE Local Security Checks	2021/6/12	2023/7/13	high
183446	Amazon Linux AMI: docker (ALASECS-2023-015)	Nessus	Amazon Linux Local Security Checks	2023/10/20	2023/10/20	medium

検出

プラグインの検索

medium

high

medium

high

medium

medium

high

medium