Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Moby 是由 Docker、Mirantis Container Runtime 和各种其他下游项目/产品进行分发的 Docker Inc. 开发的开源容器框架。开发为 moby/moby 的 Moby 后台程序组件 (`dockerd`)通常称为 *Docker*。Swarm Mode 默认在 dockerd 中编译和交付因此存在于大多数主要 Moby 下游中Swarm Mode 是通过组合 SwarmKit 和支持网络代码实现的简单的内置容器编排器。overlay 网络驱动程序是 Swarm Mode 的核心功能，用于提供隔离的虚拟 LAN，以允许群集中的容器和服务之间进行通信。此驱动程序是 VXLAN 的实现/用户其可将链路层以太网帧封装在 UDP 数据报中使用可识别原始 overlay 网络的 VXLAN 网络 ID (VNI) 来标记帧。此外叠加网络驱动程序支持当 VXLAN 数据包在节点之间遍历不受信任的网络时特别有用的非默认加密模式。加密 overlay 网络功能的实现方法是，通过在传输模式下使用 IPsec 封装式安全负载协议来封装 VXLAN 数据报。通过部署 IPSec 封装，加密的叠加网络可以通过加密证明获得源认证，通过校验和获得数据完整性，以及通过加密获得机密性。在加密的 overlay 网络上设置端点时Moby 会安装三个同时强制执行传入和传出 IPSec 的 iptablesLinux 内核防火墙规则。这些规则依赖 xt_u32 内核模块提供的 u32 iptables 扩展来直接在 VXLAN 数据包的 VNI 字段上进行筛选因此可以在加密的 overlay 网络上强制执行 IPSec 保证而不干扰其他 overlay 网络或 VXLAN 的其他用户。两个 iptables 规则用于过滤 VNI 对应的传入 VXLAN 数据报与加密网络对应并丢弃未加密的数据报。这些规则会遵循系统管理员之前设置的任何规则，附加到 INPUT 筛选器链的末尾。管理员设置的规则优先于 Moby 设置的用于丢弃未加密 VXLAN 数据报的规则因此可能允许放入本应丢弃的未加密数据报。注入任意以太网帧可导致拒绝服务攻击。有经验的攻击者可能会通过容器的出站网关建立本应遭到有状态防火墙阻止的 UDP 或 TCP 连接或通过将数据包走私到 overlay 网络执行简单注入以外的其他升级。Moby 版本 23.0.3 和 20.10.24中提供修补程序。由于 Mirantis Container Runtime 的 20.10 版本编号不同因此该平台的用户应更新到 20.10.16。但有一些变通方案。在 Internet 边界对传入流量关闭 VXLAN 端口默认为 UDP 端口 4789以防止所有 VXLAN 数据包注入和/或确保 `xt_u32` 内核模块在 Swarm 集群的所有节点上可用。 (CVE-2023-28840)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2023-28840

high Nessus 插件 ID 225932

版本 1.3