openSUSE 安全更新：docker / go (openSUSE-SU-2014:1411-1)
medium Nessus 插件 ID 79241
语言：
简介
远程 openSUSE 主机缺少安全更新。描述
Docker 已更新到版本 1.3.1，修复了两个安全问题和多个其他缺陷。修复了这些安全问题：
- 防止客户端、后台程序和注册表回退到低于 TLS 1.0 的 SSL 协议 (CVE-2014-5277)。
- 除非指定了“--insecure-registry”，否则将通过证书验证在无 HTTP 回退的情况下保护注册表的 HTTPS 连接。
已修复下列非安全性问题：
- 修复了无法共享卷的问题
- 修复了“--iptables=false”未自动设置“--ip-masq=false”的问题
- 修复了 docker 运行输出到非 TTY stdout 的问题
- 修复了对环境变量的“$”进行转义的问题
- 修复了小写“onbuild”Dockerfile 指令的问题
- 限制环境变量扩展到“ENV”、“ADD”、“COPY”、“WORKDIR”、“EXPOSE”、“VOLUME”和“USER”
- docker“exec”允许在现有容器内运行更多进程
- docker“create”提供在不执行进程的情况下通过 cli 创建容器的能力
- “-security-opts”选项允许用户定制容器标签和 apparmor 配置文件
- docker“ps”过滤器
- 对复制/添加的通配符支持
- 将生产 URL 从 get.docker.io 移动到 get.docker.com
- 在有效 cidr 内的桥上分配 IP 地址
- 为 pr 和 ci 测试使用 drone.io
- 设置官方注册表镜像的能力
- 通过 docker“save”保存多种镜像的能力
go 已更新到版本 1.3.3 ，修复了一个安全问题和多个其他缺陷。
修复了此安全问题：
- TLS 客户端认证问题 (CVE-2014-7189)。已修复下列非安全性问题：
- 失败且不必要时避免剥离 arm 上的 debuginfo
- 恢复 /usr/share/go/contrib 符号链接，因为它会在更新期间造成问题。将所有 go 源移动到 /usr/share/go/contrib/src 而不是 /usr/share/go/contrib/src/pkg 并在 contrib 中创建 pkg 和 src 以将其添加到 GOPATH
- 修复了 %go_contribsrcdir 值
- 将临时 macros.go 复制为 go.macros 以避免构建
- 不修改 Source: 文件，因为那样会使 .src.rpm 关联到一个特定架构。
- 删除了 /usr/share/go/contrib 中额外的 src 文件夹：目的是将此文件夹转换为 GOPATH 的正确入口。此文件夹现在链接到 %{_libdir}/go/contrib
- go 需要 gcc 以使用 cgo 来构建源
- tools-packaging.patch：允许在 $GOROOT_TARGET/pkg/tool 中而非 $GOROOT/pkg/tool 中构建 cover 和 vet 工具。从而允许将 go 工具构建为单独的程序包
解决方案
更新受影响的 docker / go 程序包。另见
https://bugzilla.opensuse.org/show_bug.cgi?id=898901
https://lists.opensuse.org/opensuse-updates/2014-11/msg00048.html
插件详情
严重性: Medium
ID: 79241
文件名: openSUSE-2014-660.nasl
版本: 1.9
类型: local
代理: unix
发布时间: 2014/11/14
最近更新时间: 2021/1/19
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Low
分数: 3.4
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 3.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
漏洞信息
CPE: cpe:/o:novell:opensuse:13.2, p-cpe:/a:novell:opensuse:docker-debuginfo, p-cpe:/a:novell:opensuse:go-emacs, p-cpe:/a:novell:opensuse:docker-bash-completion, p-cpe:/a:novell:opensuse:go-debuginfo, p-cpe:/a:novell:opensuse:go-vim, p-cpe:/a:novell:opensuse:go-debugsource, p-cpe:/a:novell:opensuse:docker, p-cpe:/a:novell:opensuse:go, p-cpe:/a:novell:opensuse:docker-zsh-completion, p-cpe:/a:novell:opensuse:docker-debugsource
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2014/11/5
漏洞发布日期: 2014/10/7
参考资料信息
CVE: CVE-2014-5277, CVE-2014-7189