远程主机受到 GLSA-202408-01 中所述漏洞影响（containerd：多个漏洞）

    在 containerd 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。

Tenable 已直接从 Gentoo Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 containerd 版本低于 1.6.19-1。因此，它受到 ALAS2DOCKER-2023-023 公告中提及的多个漏洞影响。

  - containerd 是一个开源容器运行时。在 containerd 的 CRI 实现中发现一个缺陷，用户可在其中耗尽主机上的内存。在 CRI 流服务器中，如果请求 TTY，则会启动一个 go 例程来处理终端大小调整事件。如果用户的进程因错误命令等原因无法启动，则 go 例程将在没有接收器的情况下等待发送，从而导致内存泄漏。
    Kubernetes 和 crictl 均可配置为使用 containerd 的 CRI 实现，流服务器尅用于处理容器 IO。此错误已在 containerd 1.6.12 和 1.5.16 中修复。用户应更新到这些版本以解决该问题。无法升级的用户应确保仅使用受信任的映像和命令，并且只有受信任的用户才有权限在运行中的容器中执行命令。(CVE-2022-23471)

  - containerd 是一个开源容器运行时。在 1.6.18 之前版本和 1.5.18 之前版本中，导入 OCI 镜像时，对某些文件的读取字节数没有限制。在未应用限制的情况下，恶意构建的包含大文件的镜像可导致拒绝服务。此错误已在 containerd 1.6.18 和 1.5.18 中修复。用户应更新到这些版本以解决该问题。变通方案是，确保仅使用受信任的镜像，并且只有受信任的用户才具有导入镜像的权限。
    (CVE-2023-25153)

  - containerd 是一个开源容器运行时。在低于 1.6.18 和 1.5.18 版的 containerd 中发现一个缺陷，容器内的附属组设置不正确。如果攻击者拥有对容器的直接访问权限并能操纵其附属群组访问权限，则在某些情况下，他们可能会使用附属群组访问权限绕过主要群组限制，从而可能获得对敏感信息的访问权限或在该容器中执行代码的能力。 使用 containerd 客户端库的下游应用程序也可能受到影响。已在 containerd v1.6.18 和 v.1.5.18 中修复此错误。用户应更新到这些版本并重新创建容器以解决该问题。
    用户如果依赖使用 containerd 客户端库的下游应用程序，应检查该应用程序是否有单独的公告和说明。变通方案是，确保不使用 `USER $USERNAME` Dockerfile 指令，将容器入口点设置为类似于“ENTRYPOINT [su, -, user]”的值，以允许“su”正确设置附属组。(CVE-2023-25173)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 containerd 版本低于 1.6.19-1。因此，该 docker 受到 ALAS2NITRO-ENCLAVES-2023-023 公告中提及的多个漏洞的影响。

  - containerd 是一个开源容器运行时。在 containerd 的 CRI 实现中发现一个缺陷，用户可在其中耗尽主机上的内存。在 CRI 流服务器中，如果请求 TTY，则会启动一个 go 例程来处理终端大小调整事件。如果用户的进程因错误命令等原因无法启动，则 go 例程将在没有接收器的情况下等待发送，从而导致内存泄漏。
    Kubernetes 和 crictl 均可配置为使用 containerd 的 CRI 实现，流服务器尅用于处理容器 IO。此错误已在 containerd 1.6.12 和 1.5.16 中修复。用户应更新到这些版本以解决该问题。无法升级的用户应确保仅使用受信任的映像和命令，并且只有受信任的用户才有权限在运行中的容器中执行命令。(CVE-2022-23471)

  - containerd 是一个开源容器运行时。在 1.6.18 之前版本和 1.5.18 之前版本中，导入 OCI 镜像时，对某些文件的读取字节数没有限制。在未应用限制的情况下，恶意构建的包含大文件的镜像可导致拒绝服务。此错误已在 containerd 1.6.18 和 1.5.18 中修复。用户应更新到这些版本以解决该问题。变通方案是，确保仅使用受信任的镜像，并且只有受信任的用户才具有导入镜像的权限。
    (CVE-2023-25153)

  - containerd 是一个开源容器运行时。在低于 1.6.18 和 1.5.18 版的 containerd 中发现一个缺陷，容器内的附属组设置不正确。如果攻击者拥有对容器的直接访问权限并能操纵其附属群组访问权限，则在某些情况下，他们可能会使用附属群组访问权限绕过主要群组限制，从而可能获得对敏感信息的访问权限或在该容器中执行代码的能力。 使用 containerd 客户端库的下游应用程序也可能受到影响。已在 containerd v1.6.18 和 v.1.5.18 中修复此错误。用户应更新到这些版本并重新创建容器以解决该问题。
    用户如果依赖使用 containerd 客户端库的下游应用程序，应检查该应用程序是否有单独的公告和说明。变通方案是，确保不使用 `USER $USERNAME` Dockerfile 指令，将容器入口点设置为类似于“ENTRYPOINT [su, -, user]”的值，以允许“su”正确设置附属组。(CVE-2023-25173)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，它受到公告 ALAS2023-2023-156 中提及的多个漏洞影响。

  - containerd 是一个开源容器运行时。在 containerd 的 CRI 实现中发现一个缺陷，用户可在其中耗尽主机上的内存。在 CRI 流服务器中，如果请求 TTY，则会启动一个 go 例程来处理终端大小调整事件。如果用户的进程因错误命令等原因无法启动，则 go 例程将在没有接收器的情况下等待发送，从而导致内存泄漏。
    Kubernetes 和 crictl 均可配置为使用 containerd 的 CRI 实现，流服务器尅用于处理容器 IO。此错误已在 containerd 1.6.12 和 1.5.16 中修复。用户应更新到这些版本以解决该问题。无法升级的用户应确保仅使用受信任的映像和命令，并且只有受信任的用户才有权限在运行中的容器中执行命令。(CVE-2022-23471)

  - containerd 是一个开源容器运行时。在 1.6.18 之前版本和 1.5.18 之前版本中，导入 OCI 镜像时，对某些文件的读取字节数没有限制。在未应用限制的情况下，恶意构建的包含大文件的镜像可导致拒绝服务。此错误已在 containerd 1.6.18 和 1.5.18 中修复。用户应更新到这些版本以解决该问题。变通方案是，确保仅使用受信任的镜像，并且只有受信任的用户才具有导入镜像的权限。
    (CVE-2023-25153)

  - containerd 是一个开源容器运行时。在低于 1.6.18 和 1.5.18 版的 containerd 中发现一个缺陷，容器内的附属组设置不正确。如果攻击者拥有对容器的直接访问权限并能操纵其附属群组访问权限，则在某些情况下，他们可能会使用附属群组访问权限绕过主要群组限制，从而可能获得对敏感信息的访问权限或在该容器中执行代码的能力。 使用 containerd 客户端库的下游应用程序也可能受到影响。已在 containerd v1.6.18 和 v.1.5.18 中修复此错误。用户应更新到这些版本并重新创建容器以解决该问题。
    用户如果依赖使用 containerd 客户端库的下游应用程序，应检查该应用程序是否有单独的公告和说明。变通方案是，确保不使用 `USER $USERNAME` Dockerfile 指令，将容器入口点设置为类似于“ENTRYPOINT [su, -, user]”的值，以允许“su”正确设置附属组。(CVE-2023-25173)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 containerd 版本低于 1.6.19-1。因此，它受到 ALAS2ECS-2023-002 公告中提及的多个漏洞影响。

  - containerd 是一个开源容器运行时。在 containerd 的 CRI 实现中发现一个缺陷，用户可在其中耗尽主机上的内存。在 CRI 流服务器中，如果请求 TTY，则会启动一个 go 例程来处理终端大小调整事件。如果用户的进程因错误命令等原因无法启动，则 go 例程将在没有接收器的情况下等待发送，从而导致内存泄漏。
    Kubernetes 和 crictl 均可配置为使用 containerd 的 CRI 实现，流服务器尅用于处理容器 IO。此错误已在 containerd 1.6.12 和 1.5.16 中修复。用户应更新到这些版本以解决该问题。无法升级的用户应确保仅使用受信任的映像和命令，并且只有受信任的用户才有权限在运行中的容器中执行命令。(CVE-2022-23471)

  - containerd 是一个开源容器运行时。在 1.6.18 之前版本和 1.5.18 之前版本中，导入 OCI 镜像时，对某些文件的读取字节数没有限制。在未应用限制的情况下，恶意构建的包含大文件的镜像可导致拒绝服务。此错误已在 containerd 1.6.18 和 1.5.18 中修复。用户应更新到这些版本以解决该问题。变通方案是，确保仅使用受信任的镜像，并且只有受信任的用户才具有导入镜像的权限。
    (CVE-2023-25153)

  - containerd 是一个开源容器运行时。在低于 1.6.18 和 1.5.18 版的 containerd 中发现一个缺陷，容器内的附属组设置不正确。如果攻击者拥有对容器的直接访问权限并能操纵其附属群组访问权限，则在某些情况下，他们可能会使用附属群组访问权限绕过主要群组限制，从而可能获得对敏感信息的访问权限或在该容器中执行代码的能力。 使用 containerd 客户端库的下游应用程序也可能受到影响。已在 containerd v1.6.18 和 v.1.5.18 中修复此错误。用户应更新到这些版本并重新创建容器以解决该问题。
    用户如果依赖使用 containerd 客户端库的下游应用程序，应检查该应用程序是否有单独的公告和说明。变通方案是，确保不使用 `USER $USERNAME` Dockerfile 指令，将容器入口点设置为类似于“ENTRYPOINT [su, -, user]”的值，以允许“su”正确设置附属组。(CVE-2023-25173)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 containerd 版本低于 1.7.2-1。因此，如公告 ALAS2DOCKER-2024-035 所述，受到多个漏洞的影响。

  - 攻击者可构建需要 ParseAcceptLanguage 花费大量时间来解析的 Accept-Language 标头，从而造成拒绝服务。(CVE-2022-32149)

  - 使用 MaxBytesHandler 时可能发生请求走私攻击。使用 MaxBytesHandler 时，未完全消耗 HTTP 请求的正文。当服务器尝试从连接读取 HTTP2 帧时，反而会读取 HTTP 请求的正文，而请求正文可能会被攻击者操纵为代表任意 HTTP2 请求。(CVE-2022-41721)

  - containerd 是一个开源容器运行时。在 1.6.18 之前版本和 1.5.18 之前版本中，导入 OCI 镜像时，对某些文件的读取字节数没有限制。在未应用限制的情况下，恶意构建的包含大文件的镜像可导致拒绝服务。此错误已在 containerd 1.6.18 和 1.5.18 中修复。用户应更新到这些版本以解决该问题。变通方案是，确保仅使用受信任的镜像，并且只有受信任的用户才具有导入镜像的权限。
    (CVE-2023-25153)

  - containerd 是一个开源容器运行时。在低于 1.6.18 和 1.5.18 版的 containerd 中发现一个缺陷，容器内的附属组设置不正确。如果攻击者拥有对容器的直接访问权限并能操纵其附属群组访问权限，则在某些情况下，他们可能会使用附属群组访问权限绕过主要群组限制，从而可能获得对敏感信息的访问权限或在该容器中执行代码的能力。 使用 containerd 客户端库的下游应用程序也可能受到影响。已在 containerd v1.6.18 和 v.1.5.18 中修复此错误。用户应更新到这些版本并重新创建容器以解决该问题。
    用户如果依赖使用 containerd 客户端库的下游应用程序，应检查该应用程序是否有单独的公告和说明。变通方案是，确保不使用 `USER $USERNAME` Dockerfile 指令，将容器入口点设置为类似于“ENTRYPOINT [su, -, user]”的值，以允许“su”正确设置附属组。(CVE-2023-25173)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 containerd 版本低于 1.7.2-1。因此，该 docker 受到 ALAS2NITRO-ENCLAVES-2024-035 公告中提及的多个漏洞的影响。

  - 攻击者可构建需要 ParseAcceptLanguage 花费大量时间来解析的 Accept-Language 标头，从而造成拒绝服务。(CVE-2022-32149)

  - 使用 MaxBytesHandler 时可能发生请求走私攻击。使用 MaxBytesHandler 时，未完全消耗 HTTP 请求的正文。当服务器尝试从连接读取 HTTP2 帧时，反而会读取 HTTP 请求的正文，而请求正文可能会被攻击者操纵为代表任意 HTTP2 请求。(CVE-2022-41721)

  - containerd 是一个开源容器运行时。在 1.6.18 之前版本和 1.5.18 之前版本中，导入 OCI 镜像时，对某些文件的读取字节数没有限制。在未应用限制的情况下，恶意构建的包含大文件的镜像可导致拒绝服务。此错误已在 containerd 1.6.18 和 1.5.18 中修复。用户应更新到这些版本以解决该问题。变通方案是，确保仅使用受信任的镜像，并且只有受信任的用户才具有导入镜像的权限。
    (CVE-2023-25153)

  - containerd 是一个开源容器运行时。在低于 1.6.18 和 1.5.18 版的 containerd 中发现一个缺陷，容器内的附属组设置不正确。如果攻击者拥有对容器的直接访问权限并能操纵其附属群组访问权限，则在某些情况下，他们可能会使用附属群组访问权限绕过主要群组限制，从而可能获得对敏感信息的访问权限或在该容器中执行代码的能力。 使用 containerd 客户端库的下游应用程序也可能受到影响。已在 containerd v1.6.18 和 v.1.5.18 中修复此错误。用户应更新到这些版本并重新创建容器以解决该问题。
    用户如果依赖使用 containerd 客户端库的下游应用程序，应检查该应用程序是否有单独的公告和说明。变通方案是，确保不使用 `USER $USERNAME` Dockerfile 指令，将容器入口点设置为类似于“ENTRYPOINT [su, -, user]”的值，以允许“su”正确设置附属组。(CVE-2023-25173)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 ESM/18.04 ESM/20.04 LTS/22.04 LTS/23.04 主机上安装的多个程序包受到 USN-6202-1 公告中提及的多个漏洞影响。

    David Korczynski 和 Adam Korczynski 发现 containerd 未能正确处理某些包含大文件的图像。攻击者可能利用该问题造成 containerd 崩溃，从而导致拒绝服务。(CVE-2023-25153)

    发现 containerd 在容器内错误设置附属组。具有容器直接访问权限的攻击者可能利用此问题获取敏感信息，或以更高权限执行代码。(CVE-2023-25173)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
205524	GLSA-202408-01：containerd：多个漏洞	Nessus	Gentoo Local Security Checks	2024/8/14	2024/8/14	high
173939	Amazon Linux 2：containerd (ALASDOCKER-2023-023)	Nessus	Amazon Linux Local Security Checks	2023/4/6	2025/5/12	high
173937	Amazon Linux 2：containerd (ALASNITRO-ENCLAVES-2023-023)	Nessus	Amazon Linux Local Security Checks	2023/4/6	2025/5/12	high
173839	Amazon Linux 2023：containerd、containerd-stress (ALAS2023-2023-156)	Nessus	Amazon Linux Local Security Checks	2023/4/4	2025/5/12	high
178287	Amazon Linux 2：containerd (ALASECS-2023-002)	Nessus	Amazon Linux Local Security Checks	2023/7/14	2025/5/12	high
189472	Amazon Linux 2：containerd (ALASDOCKER-2024-035)	Nessus	Amazon Linux Local Security Checks	2024/1/24	2025/5/12	high
189477	Amazon Linux 2：containerd (ALASNITRO-ENCLAVES-2024-035)	Nessus	Amazon Linux Local Security Checks	2024/1/24	2025/5/12	high
178000	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 LTS / 22.04 LTS / 23.04：containerd 漏洞 (USN-6202-1)	Nessus	Ubuntu Local Security Checks	2023/7/5	2025/5/12	high

检测

插件搜索

high

high

high

high

high

high

high

high