Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Moby 是由 Docker、Mirantis Container Runtime 和各种其他下游项目/产品进行分发的 Docker Inc. 开发的开源容器框架。Moby 后台程序组件 (`dockerd`) 开发为 moby/moby 通常称为 *Docker*。Swarm Mode 默认在“dockerd”中编译和交付因此存在于大多数主要 Moby 下游中是一种简单的内置容器编排器通过 SwarmKit 和支持网络代码的组合实现。“overlay”网络驱动程序是 Swarm Mode 的核心功能，用于提供隔离的虚拟 LAN，允许群集中的容器和服务之间进行通信。此驱动程序是 VXLAN 的实现/用户其可将链路层以太网帧封装在使用 VXLAN 元数据包括用于识别原始 overlay 网络的 VXLAN 网络 ID (VNI) 标记帧的 UDP 数据报中的链路层以太网帧。此外叠加网络驱动程序支持当 VXLAN 数据包在节点之间遍历不受信任的网络时特别有用的非默认加密模式。
    加密 overlay 网络功能的实现方法是，通过在传输模式下使用 IPsec 封装式安全负载协议来封装 VXLAN 数据报。通过部署 IPSec 封装，加密的叠加网络可以通过加密证明获得源认证，通过校验和获得数据完整性，以及通过加密获得机密性。在加密的 overlay 网络上设置端点时Moby 会安装三个同时强制执行传入和传出 IPSec 的 iptablesLinux 内核防火墙规则。这些规则依赖于“xt_u32”内核模块提供的“u32”iptables 扩展来直接在 VXLAN 数据包的 VNI 字段上进行筛选因此可以在加密的 overlay 网络上强制执行 IPSec 保证而不干扰其他 overlay 网络或 VXLAN 的其他用户。 。iptables 规则使用与加密的 overlay 网络对应的 VNI 指定传出的 VXLAN 数据报以进行 IPsec 封装。受影响平台上的加密叠加网络会静默传输未加密的数据。因此“overlay”网络可能看起来功能正常可以按预期传递流量但缺少任何预期的机密性或数据完整性保证。网络上位于受信任位置的攻击者可以读取跨叠加网络移动的所有应用程序流量从而导致意外机密或用户数据泄露。因此由于许多数据库协议、内部 API 等不受第二层加密的保护用户可能使用 Swarm 加密的覆盖网络来提供由于此漏洞而不再保证的机密性。Moby 版本 23.0.3和 20.10.24中提供修补程序。由于 Mirantis Container Runtime 的 20.10 版本编号不同因此该平台的用户应更新到 20.10.16。但有一些变通方案。关闭在 Internet 边界传出流量的 VXLAN 端口默认为 UDP 端口 4789以防无意间泄漏 Internet 上的未加密流量和/或确保“xt_u32”内核模块在 Swarm 的所有节点上可用cluster。
    (CVE-2023-28841)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2023-28841

medium Nessus 插件 ID 226947

版本 1.5