Amazon Linux AMI：docker (ALAS-2015-522)

high Nessus 插件 ID 83280

语言：

简介

远程 Amazon Linux AMI 主机缺少安全更新。

描述

已发现在执行 chroot 之前打开由 libcontainer 传递给容器的 pid-1 进程的 file-descriptor，允许不安全的打开和符号链接遍历。这允许恶意容器图像触发本地权限升级。
(CVE-2015-3627)

Libcontainer 版本 1.6.0 引入了更改，以便于在容器再生时挂载命名空间中断。这允许恶意图像将文件写入主机系统，以及转义容器化。(CVE-2015-3629)

可以从容器写入 /proc 之下的多条路径，因此允许全局系统操纵和配置。这些路径包括 /proc/asound、/proc/timer_stats、/proc/latency_stats 和 /proc/fs。一旦允许写入 /proc/fs，就会注意到可通过根用户在容器之内操作来将 CIFS 卷强制处于协议降级攻击状态。已加载 timer_stats 模块的计算机容易使容器启用并消耗此机制。(CVE-2015-3630)

通过允许卷替代挂载命名空间之内的 /proc 的文件，用户可以为 Linux 安全模块指定任意策略，包括在 AppArmor 之下设置未定义的策略，或者为 SELinux 管理的进程设置 docker_t 策略。在 1.6.1 及之前的所有 Docker 版本中，恶意图像可能配置卷挂载，因此可替代 proc 的文件。
(CVE-2015-3631)