リモートホストにインストールされているKubernetesのバージョンは、1.12.9より前、1.13.6より前の1.13.x、または1.14.2より前の1.14.xです。したがって、実行中のコンテナからファイルをコピーする際のシンボリックリンクの処理が誤っているため、kubectl cpコマンドのディレクトリトラバーサルの脆弱性による影響を受けます。認証されていないリモートの攻撃者がこれを悪用し、悪意のあるコンテナでkubectl cpを使用するようにユーザーを誘導してリモートホスト上の任意のファイルを上書きする可能性があります。

atomic-openshiftの更新プログラムが、Red Hat OpenShift Container Platform 3.11で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。すべてのOpenShift Container Platform 3.11ユーザーは、これらの更新済みパッケージとイメージにアップグレードすることが推奨されます。セキュリティ修正プログラム：* kubernetes：CVE-2019-1002101に対する不完全な修正による、kubectl cpを介して任意のファイルが書き込まれる可能性（CVE-2019-11246）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモートの Oracle Linux 7 ホストに、ELSA-2019-4816 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Kubernetes --cache-dir v1.8.x - $HOME/v1.14.x では、スキーマ情報は、誰でも書き込める権限（rw- rw-rw-）。 --cache-dir が指定され、他のユーザー / グループがアクセス可能な別の場所を指している場合、書き込まれたファイルが他のユーザー / グループによって変更され、kubectl の呼び出しが中断される可能性があります。(CVE-2019-11244)

  - 一部の HTTP/2 実装は、ping フラッドに対して脆弱であり、サービス拒否を引き起こす可能性があります。攻撃者は HTTP/2 ピアに継続的に ping を送信し、ピアに応答の内部キューを作成させます。このデータを効率的にキューに入れる方法によって、CPU、メモリ、またはその両方が過剰に消費される可能性があります。
    (CVE-2019-9512)

  - kubectl cp コマンドにより、コンテナとユーザーマシンの間でファイルをコピーする可能性があります。コンテナからファイルをコピーするために、Kubernetes はコンテナ内で tar を実行して tar アーカイブを作成し、それをネットワーク経由でコピーし、kubectl がそれをユーザーのマシン上で解凍します。コンテナ内の tar バイナリが悪意ある場合、任意のコードを実行し、予期しない悪意ある結果を出力する可能性があります。攻撃者がこれを利用して、kubectl cp が呼び出されたときに、ユーザーのマシンの任意のパスにファイルを書き込むことができます。これは、ローカルユーザーのシステム権限によってのみ制限されます。影響を受ける Kubernetes のバージョンには、1.12.9 より前のバージョン、1.13.6 より前のバージョン、1.14.2 より前のバージョン、バージョン 1.1、1.2、1.4、1.4、1.5、1.6、1.7、1.8、1.9、1.10、1.11 があります。(CVE-2019-11246)

  - バージョン 1.1-1.12、ならびにバージョン 1.13.11、 1.14.7、および 1.15.4 より前の Kubernetes kubectl cp コマンドにより、悪意のあるコンテナの tar 出力によって提供される 2 つのシンボリックリンクを組み合わせて、kubectl cp 呼び出しで指定された宛先ディレクトリの外にファイルを配置できるようにします。これを利用して、攻撃者がシンボリックリンクを使用して極悪なファイルを宛先ツリー外に配置する可能性があります。(CVE-2019-11251)

  - リソースが名前空間であるかのようにリクエストが行われた場合、Kubernetes kube-apiserver はクラスタースコープのカスタムリソースへのアクセスを誤って許可します。この方法でアクセスされるリソースの承認は、ネームスペース内のロールとロールバインディングを使用して強制されます。つまり、1 つのネームスペース内のリソースにのみアクセスできるユーザーは、(ネームスペースロール特権に従って) クラスタースコープのリソースを作成、表示、更新、または削除できます。 影響を受ける Kubernetes のバージョンには、1.13.9 より前のバージョン、1.14.5 より前のバージョン、1.15.2 より前のバージョン、バージョン 1.7、1.8、1.9、1.10、1.11、1.12 があります。(CVE-2019-11247)

  - kubectl cp コマンドにより、コンテナとユーザーマシンの間でファイルをコピーする可能性があります。コンテナからファイルをコピーするために、Kubernetes はコンテナ内で tar を実行して tar アーカイブを作成し、それをネットワーク経由でコピーし、kubectl がそれをユーザーのマシン上で解凍します。コンテナ内の tar バイナリが悪意ある場合、任意のコードを実行し、予期しない悪意ある結果を出力する可能性があります。攻撃者がこれを利用して、kubectl cp が呼び出されたときに、ユーザーのマシンの任意のパスにファイルを書き込むことができます。これは、ローカルユーザーのシステム権限によってのみ制限されます。影響を受ける Kubernetes のバージョンには、1.13.9 より前のバージョン、1.14.5 より前のバージョン、1.15.2 より前のバージョン、バージョン 1.1、1.2、1.4、1.4、1.5、1.6、1.7、1.8、1.9、1.10、1.11、1.12 があります。
    (CVE-2019-11249)

  - 1.12.10 より前、および 1.13.1 より前の 1.13.x の Go では、HTTP リクエストスマグリングを許可します。(CVE-2019-16276)

  - バージョン v1.0-1.12、ならびに v1.13.12 より前のバージョン、v1.14.8、v1.15.5、および v1.16.2 の Kubernetes API サーバーの入力検証が不適切であるため、認証されたユーザーは、悪意のある YAML または JSON ペイロードを送信し、API サーバーが CPU またはメモリを過剰に消費することで、クラッシュや使用不能になる可能性があります。
    v1.14.0 より前のバージョンでは、デフォルトの RBAC ポリシーにより、匿名のユーザーがリクエストを送信することを承認されていました。これにより、この脆弱性が発生する可能性があります。v1.14.0 より前のバージョンからアップグレードされたクラスターは、下位互換性のために、デフォルトで許容度の高いポリシーを維持します。(CVE-2019-11253)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

v1.15.2 +キャリーUpstream #81330に更新してください 

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

atomic-openshiftの更新プログラムが、Red Hat OpenShift Container Platformで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。セキュリティ修正プログラム：* kubernetes：CVE-2019-1002101に対する不完全な修正による、「kubectl cp」を介して任意のファイルが書き込まれる可能性（CVE-2019-11246）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

atomic-openshiftの更新プログラムが、Red Hat OpenShift Container Platform 3.9で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。セキュリティ修正プログラム：* kubernetes：CVE-2019-1002101に対する不完全な修正による、「kubectl cp」を介して任意のファイルが書き込まれる可能性（CVE-2019-11246）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
126468	Kubernetes 1.12.x < 1.12.9/1.13.x < 1.13.6/1.14.x < 1.14.2 kubectlのディレクトリトラバーサル	Nessus	Misc.	2019/7/4	2022/4/11	medium
126323	RHEL 7：Red Hat OpenShift Container Platform 3.11 atomic-openshift（RHSA-2019:1633）	Nessus	Red Hat Local Security Checks	2019/6/28	2024/4/27	medium
180704	Oracle Linux 7: kubernetes (ELSA-2019-4816)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/8	high
128127	Fedora 30：kubernetes（2019-2b8ef08c95）	Nessus	Fedora Local Security Checks	2019/8/26	2024/5/2	high
126322	RHEL 7：Red Hat OpenShift Container Platform 3.10 atomic-openshift（RHSA-2019:1632）	Nessus	Red Hat Local Security Checks	2019/6/28	2024/4/27	medium
127033	RHEL 7：OpenShift Container Platform 3.9 atomic-openshift（RHSA-2019:1852）	Nessus	Red Hat Local Security Checks	2019/7/25	2024/4/28	medium

検出

プラグインの検索

medium

medium

high

high

medium

medium