Amazon Linux 2：containerd (ALASECS-2023-014)

medium Nessus 插件 ID 183449

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 containerd 版本低于 1.4.4-1。因此，该应用程序受到 ALAS2ECS-2023-014 公告中提及的漏洞的影响。

- 在 1.3.10 和 1.4.4 版本之前的 containerd（行业标准容器运行时）中，通过 containerd 的 CRI 实现（通过 Kubernetes、crictl 或任何其他使用 containerd CRI 服务的 pod/容器客户端）启动且共享同一图像的容器可能会收到不正确的环境变量，包括为其他容器定义的值。如果受影响的容器具有不同的安全环境，这可导致无意间共享敏感信息。如果不使用 containerd 的 CRI 实现（通过上述机制之一），则不受此问题影响。如果不从具有不同环境变量的同一图像启动多个容器或 Kubernetes pod，则不受此问题的影响。如果不连续快速地从同一图像启动多个容器或 Kubernetes pod，则可降低受到此问题影响的可能性。此漏洞已在 containerd 1.3.10 和 containerd 1.4.4 中修复。用户应更新到这些版本。(CVE-2021-21334)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。