远程 Red Hat Enterprise Linux CoreOS 4 主机上安装的程序包受到 RHSA-2024: 公告所述的多个漏洞的影响0207 公告中提及的多个漏洞的影响。

  - OpenTelemetry-Go Contrib 由一系列适用于 OpenTelemetry-Go 的第三方程序包组成。在低于 0.46.0 的版本中，开箱即用的 grpc Unary Server Interceptor 会添加未绑定基数的“net.peer.sock.addr”和“net.peer.sock.port”标签。如果发送许多恶意请求，可能会导致服务器内存耗尽。攻击者可轻松针对请求对对等机地址和端口进行洪流攻击。0.46.0 版包含针对此问题的补丁。作为不受影响的变通方案，可以使用删除属性的视图。另一种方法是通过传递包含“noop.NewMeterProvider”的“otelgrpc.WithMeterProvider”选项来禁用 grpc 指标检测。(CVE-2023-47108)

  - 在 CRI-O 中发现一个缺陷，涉及导致容器不受限制的实验性注解。这可能允许 pod 指定并获取任意数量的内存/cpu，从而绕过 kubernetes 计划程序，并可能导致节点中发生拒绝服务。(CVE-2023-6476)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The remote openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2024:3656-1 advisory.

    Update to version 3.5.12:

    Security fixes:

    - CVE-2018-16873: Fixed remote command execution in cmd/go (bsc#1118897)
    - CVE-2018-16874: Fixed directory traversal in cmd/go (bsc#1118898)
    - CVE-2018-16875: Fixed CPU denial of service in crypto/x509 (bsc#1118899)
    - CVE-2018-16886: Fixed improper authentication issue when RBAC and client-cert-auth is enabled     (bsc#1121850)
    - CVE-2020-15106: Fixed panic in decodeRecord method (bsc#1174951)
    - CVE-2020-15112: Fixed improper checks in entry index (bsc#1174951)
    - CVE-2021-28235: Fixed information discosure via debug function (bsc#1210138)
    - CVE-2022-41723: Fixed quadratic complexity in HPACK decoding in net/http (bsc#1208270, bsc#1208297)
    - CVE-2023-29406: Fixed insufficient sanitization of Host header in go net/http (bsc#1213229)
    - CVE-2023-47108: Fixed DoS vulnerability in otelgrpc (bsc#1217070)
    - CVE-2023-48795: Fixed prefix truncation breaking ssh channel integrity (aka Terrapin Attack) in     crypto/ssh (bsc#1217950, bsc#1218150)

    Other changes:

    - Added hardening to systemd service(s) (bsc#1181400)
    - Fixed static /tmp file issue (bsc#1199031)
    - Fixed systemd service not starting (bsc#1183703)

    Full changelog:

    https://github.com/etcd-io/etcd/compare/v3.3.1...v3.5.12

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of containerd installed on the remote host is prior to 1.7.11-1. It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2ECS-2024-035 advisory.

    The HTTP/2 protocol allows a denial of service (server resource consumption) because request cancellation     can reset many streams quickly, as exploited in the wild in August through October 2023. (CVE-2023-39325)

    A malicious HTTP sender can use chunk extensions to cause a receiver reading from a request or response     body to read many more bytes from the network than are in the body. A malicious HTTP client can further     exploit this to cause a server to automatically read a large amount of data (up to about 1GiB) when a     handler fails to read the entire body of a request. Chunk extensions are a little-used HTTP feature which     permit including additional metadata in a request or response body sent using the chunked encoding. The     net/http chunked encoding reader discards this metadata. A sender can exploit this by inserting a large     metadata segment with each byte transferred. The chunk reader now produces an error if the ratio of real     body to encoded bytes grows too small. (CVE-2023-39326)

    Text nodes not in the HTML namespace are incorrectly literally rendered, causing text which should be     escaped to not be. This could lead to an XSS attack. (CVE-2023-3978)

    OpenTelemetry-Go Contrib is a collection of third-party packages for OpenTelemetry-Go. Prior to version     0.46.0, the grpc Unary Server Interceptor out of the box adds labels `net.peer.sock.addr` and     `net.peer.sock.port` that have unbound cardinality. It leads to the server's potential memory exhaustion     when many malicious requests are sent. An attacker can easily flood the peer address and port for     requests. Version 0.46.0 contains a fix for this issue. As a workaround to stop being affected, a view     removing the attributes can be used. The other possibility is to disable grpc metrics instrumentation by     passing `otelgrpc.WithMeterProvider` option with `noop.NewMeterProvider`. (CVE-2023-47108)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2024-498 advisory.

    2024-02-29: CVE-2023-47108 was added to this advisory.

    The HTTP/2 protocol allows a denial of service (server resource consumption) because request cancellation     can reset many streams quickly, as exploited in the wild in August through October 2023. (CVE-2023-39325)

    A malicious HTTP sender can use chunk extensions to cause a receiver reading from a request or response     body to read many more bytes from the network than are in the body. A malicious HTTP client can further     exploit this to cause a server to automatically read a large amount of data (up to about 1GiB) when a     handler fails to read the entire body of a request. Chunk extensions are a little-used HTTP feature which     permit including additional metadata in a request or response body sent using the chunked encoding. The     net/http chunked encoding reader discards this metadata. A sender can exploit this by inserting a large     metadata segment with each byte transferred. The chunk reader now produces an error if the ratio of real     body to encoded bytes grows too small. (CVE-2023-39326)

    OpenTelemetry-Go Contrib is a collection of third-party packages for OpenTelemetry-Go. A handler wrapper     out of the box adds labels `http.user_agent` and `http.method` that have unbound cardinality. It leads to     the server's potential memory exhaustion when many malicious requests are sent to it. HTTP header User-     Agent or HTTP method for requests can be easily set by an attacker to be random and long. The library     internally uses `httpconv.ServerRequest` that records every value for HTTP `method` and `User-Agent`. In     order to be affected, a program has to use the `otelhttp.NewHandler` wrapper and not filter any unknown     HTTP methods or User agents on the level of CDN, LB, previous middleware, etc. Version 0.44.0 fixed this     issue when the values collected for attribute `http.request.method` were changed to be restricted to a set     of well-known values and other high cardinality attributes were removed. As a workaround to stop being     affected, `otelhttp.WithFilter()` can be used, but it requires manual careful configuration to not log     certain requests entirely. For convenience and safe usage of this library, it should by default mark with     the label `unknown` non-standard HTTP methods and User agents to show that such requests were made but do     not increase cardinality. In case someone wants to stay with the current behavior, library API should     allow to enable it. (CVE-2023-45142)

    OpenTelemetry-Go Contrib is a collection of third-party packages for OpenTelemetry-Go. Prior to version     0.46.0, the grpc Unary Server Interceptor out of the box adds labels `net.peer.sock.addr` and     `net.peer.sock.port` that have unbound cardinality. It leads to the server's potential memory exhaustion     when many malicious requests are sent. An attacker can easily flood the peer address and port for     requests. Version 0.46.0 contains a fix for this issue. As a workaround to stop being affected, a view     removing the attributes can be used. The other possibility is to disable grpc metrics instrumentation by     passing `otelgrpc.WithMeterProvider` option with `noop.NewMeterProvider`. (CVE-2023-47108)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Red Hat Enterprise Linux CoreOS 4 host has a package installed that is affected by multiple vulnerabilities as referenced in the RHSA-2024:0207 advisory.

  - OpenTelemetry-Go Contrib is a collection of third-party packages for OpenTelemetry-Go. Prior to version     0.46.0, the grpc Unary Server Interceptor out of the box adds labels `net.peer.sock.addr` and     `net.peer.sock.port` that have unbound cardinality. It leads to the server's potential memory exhaustion     when many malicious requests are sent. An attacker can easily flood the peer address and port for     requests. Version 0.46.0 contains a fix for this issue. As a workaround to stop being affected, a view     removing the attributes can be used. The other possibility is to disable grpc metrics instrumentation by     passing `otelgrpc.WithMeterProvider` option with `noop.NewMeterProvider`. (CVE-2023-47108)

  - A flaw was found in CRI-O that involves an experimental annotation leading to a container being     unconfined. This may allow a pod to specify and get any amount of memory/cpu, circumventing the kubernetes     scheduler and potentially resulting in a denial of service in the node. (CVE-2023-6476)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 8 / 9 host has a package installed that is affected by a vulnerability as referenced in the RHSA-2024:0288 advisory.

    Red Hat OpenShift Container Platform is Red Hat's cloud computing Kubernetes application platform solution     designed for on-premise or private cloud deployments.

    This advisory contains the RPM packages for Red Hat OpenShift Container Platform 4.13.30. See the     following advisory for the container images for this release:

    Security Fix(es):

    * opentelemetry-go-contrib: DoS vulnerability in otelgrpc due to unbound     cardinality metrics (CVE-2023-47108)

    For more details about the security issue(s), including the impact, a CVSS     score, acknowledgments, and other related information, refer to the CVE     page(s)     listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES12 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2024:4319-1 advisory.

    - Update docker-buildx to v0.19.2. See upstream changelog online at       <https://github.com/docker/buildx/releases/tag/v0.19.2>.

      Some notable changelogs from the last update:
        * <https://github.com/docker/buildx/releases/tag/v0.19.0>
        * <https://github.com/docker/buildx/releases/tag/v0.18.0>

    - Add a new toggle file /etc/docker/suse-secrets-enable which allows users to       disable the SUSEConnect integration with Docker (which creates special mounts       in /run/secrets to allow container-suseconnect to authenticate containers       with registries on registered hosts). bsc#1231348 bsc#1232999

      In order to disable these mounts, just do

        echo 0 > /etc/docker/suse-secrets-enable

      and restart Docker. In order to re-enable them, just do

        echo 1 > /etc/docker/suse-secrets-enable

      and restart Docker. Docker will output information on startup to tell you       whether the SUSE secrets feature is enabled or not.

    - Disable docker-buildx builds for SLES. It turns out that build containers       with docker-buildx don't currently get the SUSE secrets mounts applied,       meaning that container-suseconnect doesn't work when building images.
      bsc#1233819

    - Remove DOCKER_NETWORK_OPTS from docker.service. This was removed from       sysconfig a long time ago, and apparently this causes issues with systemd in       some cases.

    - Allow a parallel docker-stable RPM to exists in repositories.

    - Update to docker-buildx v0.17.1 to match standalone docker-buildx package we       are replacing. See upstream changelog online at       <https://github.com/docker/buildx/releases/tag/v0.17.1>

    - Allow users to disable SUSE secrets support by setting       DOCKER_SUSE_SECRETS_ENABLE=0 in /etc/sysconfig/docker. (bsc#1231348)

    - Mark docker-buildx as required since classic 'docker build' has been       deprecated since Docker 23.0. (bsc#1230331)

    - Import docker-buildx v0.16.2 as a subpackage. Previously this was a separate       package, but with docker-stable it will be necessary to maintain the packages       together and it makes more sense to have them live in the same OBS package.
      (bsc#1230333)

    - Update to Docker 26.1.5-ce. See upstream changelog online at       <https://docs.docker.com/engine/release-notes/26.1/#2615>       bsc#1230294

    - This update includes fixes for:
      * CVE-2024-41110. bsc#1228324
      * CVE-2023-47108. bsc#1217070 bsc#1229806
      * CVE-2023-45142. bsc#1228553 bsc#1229806

    - Update to Docker 26.1.4-ce. See upstream changelog online at       <https://docs.docker.com/engine/release-notes/26.1/#2614>

    - Update to Docker 26.1.0-ce. See upstream changelog online at       <https://docs.docker.com/engine/release-notes/26.1/#2610>

    - Update --add-runtime to point to correct binary path.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの openSUSE 15 ホストには、SUSE-SU-2024:3656-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 3.5.12 への更新:

    セキュリティ修正:

    - CVE-2018-16873: cmd/go でのリモートコマンド実行を修正しました (bsc#1118897)
    - CVE-2018-16874: cmd/go でディレクトリトラバーサルを修正しました (bsc#1118898)
    - CVE-2018-16875: crypto/x509 で CPU のサービス拒否を修正しました (bsc#1118899)
    - CVE-2018-16886: RBAC および client-cert-auth が有効な場合の不適切な認証の問題を修正しました (bsc#1121850)
    - CVE-2020-15106: decodeRecord メソッドのパニックを修正しました (bsc#1174951)
    - CVE-2020-15112: エントリインデックスの不適切なチェックを修正しました (bsc#1174951)
    - CVE-2021-28235: デバッグ機能による情報漏洩を修正しました (bsc#1210138)
    - CVE-2022-41723: net/http における HPACK デコーディングの 2 次複雑度を修正しました (bsc#1208270、bsc#1208297)
    - CVE-2023-29406: go net/http のホストヘッダーの不十分なサニタイズを修正しました (bsc#1213229)
    - CVE-2023-47108: otelgrpc の DoS 脆弱性を修正しました (bsc#1217070)
    - CVE-2023-48795: crypto/ssh で ssh チャネル整合性を壊すプレフィックス切り捨て (別名 Terrapin 攻撃) を修正しました (bsc#1217950、bsc#1218150)

    その他の変更：

    - systemd サービスに強化策を追加しました (bsc#1181400)
    - 静的 /tmp ファイルの問題を修正しました (bsc#1199031)
    - 開始しない systemd サービスを修正しました (bsc#1183703)

    全変更ログ：

    https://github.com/etcd-io/etcd/compare/v3.3.1...v3.5.12

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている containerd のバージョンは 1.7.11-1 より前のものです。したがって、ALAS2ECS-2024-035 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - リクエストを迅速に作成し、すぐにリセットする悪意のある HTTP/2 クライアントは、過剰なサーバーリソースの消費を引き起こす可能性があります。リクエストの総数は http2.Server.MaxConcurrentStreams 設定によって制限されますが、進行中のリクエストをリセットすると、攻撃者は既存のリクエストの実行中に新しいリクエストを作成することが可能です。修正が適用されると、HTTP/2 サーバーは同時に実行するハンドラー goroutine の数をストリームの同時実行制限 (MaxConcurrentStreams) に制限するようになりました。制限に達したときに到着する新しいリクエスト (これは、クライアントが既存の処理中のリクエストをリセットした後にのみ発生する可能性があります) は、ハンドラーが終了するまでキューに入れられます。リクエストキューが大きくなりすぎると、サーバーは接続を終了します。この問題は、HTTP/2 を手動で設定するユーザー向けに golang.org/x/net/http2 でも修正されています。デフォルトのストリーム同時実行制限は、HTTP/2 接続あたり 250 ストリーム (リクエスト) です。この値は golang.org/x/net/http2 パッケージを使用して調整できます。Server.MaxConcurrentStreams 設定と ConfigureServer 関数を参照してください。(CVE-2023-39325)

  - 悪意のある HTTP 送信者はチャンク拡張を使用して、リクエストまたは応答本文から読み取る受信者に、本文よりも多くのバイトをネットワークから読み取らせることができます。悪意のある HTTP クライアントはこれをさらに悪用し、ハンドラーがリクエスト本文全体を読み取ることができないときに、サーバーに大量のデータ (最大約 1 GiB) を自動的に読み取らせる可能性があります。チャンク拡張は、あまり使用されない HTTP 機能であり、チャンクされたエンコーディングを使用して送信されるリクエストまたは応答本文に追加のメタデータを含めることを許可します。net/http チャンクエンコーディングリーダーは、このメタデータを破棄します。送信者は、転送されるバイトごとに大きなメタデータセグメントを挿入することで、これを悪用できます。チャンク読み取りプログラムは、エンコードされたバイトに対する実際の本文の比率が小さすぎる場合にエラーを生成するようになりました。(CVE-2023-39326)

  - HTML 名前空間にないテキストノードが誤って文字通りにレンダリングされ、エスケープされるべきテキストがエスケープされません。これにより、XSS 攻撃が引き起こされる可能性があります。(CVE-2023-3978)

  - OpenTelemetry-Go Contrib は、OpenTelemetry-Go 用のサードパーティパッケージのコレクションです。バージョン 0.46.0 より前の grpc Unary Server Interceptor は、標準装備されているため、バインドされていないカーディナリティがあるラベル「net.peer.sock.addr」および「net.peer.sock.port」を追加します。悪意のあるリクエストが多数送信されると、サーバーがメモリを使い果たす可能性があります。攻撃者は、リクエスト用のピアアドレスとポートを簡単にフラッディングできます。バージョン 0.46.0には、この問題の修正が含まれています。影響を受けないようにする回避策として、属性を削除するビューを使用できます。もう 1 つの可能性は、「otelgrpc.WithMeterProvider」オプションを「noop.NewMeterProvider」で渡すことで、grpc メトリクスインストルメンテーションを無効にすることです。(CVE-2023-47108)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2024:0288 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - opentelemetry-go-contrib: バインドされていないカーディナリティメトリクスによる otelgrpc の DoS 脆弱性 (CVE-2023-47108)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2024-498 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - リクエストを迅速に作成し、すぐにリセットする悪意のある HTTP/2 クライアントは、過剰なサーバーリソースの消費を引き起こす可能性があります。リクエストの総数は http2.Server.MaxConcurrentStreams 設定によって制限されますが、進行中のリクエストをリセットすると、攻撃者は既存のリクエストの実行中に新しいリクエストを作成することが可能です。修正が適用されると、HTTP/2 サーバーは同時に実行するハンドラー goroutine の数をストリームの同時実行制限 (MaxConcurrentStreams) に制限するようになりました。制限に達したときに到着する新しいリクエスト (これは、クライアントが既存の処理中のリクエストをリセットした後にのみ発生する可能性があります) は、ハンドラーが終了するまでキューに入れられます。リクエストキューが大きくなりすぎると、サーバーは接続を終了します。この問題は、HTTP/2 を手動で設定するユーザー向けに golang.org/x/net/http2 でも修正されています。デフォルトのストリーム同時実行制限は、HTTP/2 接続あたり 250 ストリーム (リクエスト) です。この値は golang.org/x/net/http2 パッケージを使用して調整できます。Server.MaxConcurrentStreams 設定と ConfigureServer 関数を参照してください。(CVE-2023-39325)

  - 悪意のある HTTP 送信者はチャンク拡張を使用して、リクエストまたは応答本文から読み取る受信者に、本文よりも多くのバイトをネットワークから読み取らせることができます。悪意のある HTTP クライアントはこれをさらに悪用し、ハンドラーがリクエスト本文全体を読み取ることができないときに、サーバーに大量のデータ (最大約 1 GiB) を自動的に読み取らせる可能性があります。チャンク拡張は、あまり使用されない HTTP 機能であり、チャンクされたエンコーディングを使用して送信されるリクエストまたは応答本文に追加のメタデータを含めることを許可します。net/http チャンクエンコーディングリーダーは、このメタデータを破棄します。送信者は、転送されるバイトごとに大きなメタデータセグメントを挿入することで、これを悪用できます。チャンク読み取りプログラムは、エンコードされたバイトに対する実際の本文の比率が小さすぎる場合にエラーを生成するようになりました。(CVE-2023-39326)

  - OpenTelemetry-Go Contrib は、OpenTelemetry-Go 用のサードパーティパッケージのコレクションです。すぐに使用できるハンドラーラッパーは、バインドされていないカーディナリティがあるラベル「http.user_agent」および「http.method」を追加します。悪意のあるリクエストが多数送信されると、サーバーがメモリを使い果たす可能性があります。攻撃者は、HTTP ヘッダーユーザーエージェントまたはリクエスト用の HTTP メソッドを簡単にランダムに長く設定できます。ライブラリは、HTTP「method」および「User-Agent」のすべての値を記録する「httpconv.ServerRequest」を内部で使用します。影響を受けるためには、プログラムは、「otelhttp.NewHandler」ラッパーを使用し、CDN、LB、以前のミドルウェアなどのレベルで不明な HTTP メソッドまたはユーザーエージェントをフィルタリングしない必要があります。バージョン 0.44.0 により、属性「http.request.method」に対して収集される値が既知の値のセットに制限されるように変更された際に、この問題が修正されました。また、他のカーディナリティの高い属性が削除されました。影響を受けないようにするための回避策として、「otelhttp.WithFilter()」を使用できますが、特定のリクエストを完全に記録しないように、手動で慎重に構成する必要があります。このライブラリを便利かつ安全に使用するために、ライブラリはデフォルトで「不明な」非標準 HTTP メソッドおよびユーザーエージェントというラベルでマークし、そのようなリクエストが行われたがカーディナリティを増加させないことを示す必要があります。現在の動作を維持したい場合は、ライブラリ API で有効にする必要があります。(CVE-2023-45142)

  - OpenTelemetry-Go Contrib は、OpenTelemetry-Go 用のサードパーティパッケージのコレクションです。バージョン 0.46.0 より前の grpc Unary Server Interceptor は、標準装備されているため、バインドされていないカーディナリティがあるラベル「net.peer.sock.addr」および「net.peer.sock.port」を追加します。悪意のあるリクエストが多数送信されると、サーバーがメモリを使い果たす可能性があります。攻撃者は、リクエスト用のピアアドレスとポートを簡単にフラッディングできます。バージョン 0.46.0には、この問題の修正が含まれています。影響を受けないようにする回避策として、属性を削除するビューを使用できます。もう 1 つの可能性は、「otelgrpc.WithMeterProvider」オプションを「noop.NewMeterProvider」で渡すことで、grpc メトリクスインストルメンテーションを無効にすることです。(CVE-2023-47108)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Red Hat Enterprise Linux CoreOS 4 ホストにインストールされているパッケージは、RHSA-2024: 0207 アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - OpenTelemetry-Go Contrib は、OpenTelemetry-Go 用のサードパーティパッケージのコレクションです。バージョン 0.46.0 より前の grpc Unary Server Interceptor は、標準装備されているため、バインドされていないカーディナリティがあるラベル「net.peer.sock.addr」および「net.peer.sock.port」を追加します。悪意のあるリクエストが多数送信されると、サーバーがメモリを使い果たす可能性があります。攻撃者は、リクエスト用のピアアドレスとポートを簡単にフラッディングできます。バージョン 0.46.0には、この問題の修正が含まれています。影響を受けないようにする回避策として、属性を削除するビューを使用できます。もう 1 つの可能性は、「otelgrpc.WithMeterProvider」オプションを「noop.NewMeterProvider」で渡すことで、grpc メトリクスインストルメンテーションを無効にすることです。(CVE-2023-47108)

  - CRI-O に、コンテナ解放につながる実験的な注釈に関連する欠陥が見つかりました。これにより、Pod が任意の量のメモリ/cpu を指定して取得し、kubernetes スケジューラーを回避し、ノードでサービス拒否を引き起こす可能性があります。(CVE-2023-6476)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12 ホストには、SUSE-SU-2024:4319-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - docker-buildx を v0.19.2 に更新します。<https://github.com/docker/buildx/releases/tag/v0.19.2> でオンラインの Upstream 変更ログを参照してください。

      最後の更新からのいくつかの重要な変更ログ:
        * <https://github.com/docker/buildx/releases/tag/v0.19.0>* <https://github.com/docker/buildx/releases/tag/v0.18.0>

    - 新しいトグルファイル /etc/docker/suse-secrets-enable を追加します。これにより、ユーザーが SUSEConnect と Docker の統合を無効にすることができます (これにより、/run/secrets に特別なマウントが作成され、登録済みホスト上のレジストリで、container-suseconnect がコンテナを認証できるようになります)。 bsc#1231348 bsc#1232999

      これらのマウントを無効にするには、単に

        echo 0 > /etc/docker/suse-secrets-enable

      をクリックして Docker を再起動します。それらを再度有効にするには、単に 

        echo 1 > /etc/docker/suse-secrets-enable

      をクリックして Docker を再起動します。Docker は起動時に、SUSE シークレット機能が有効かどうかを示す情報を出力します。

    - SLES の docker-buildx ビルドを無効にします。docker-buildx でコンテナをビルドするのに、現在 SUSE シークレットマウントが適用されていないことが判明しました。これは、イメージをビルドする際に、container-suseconnect が機能しないことを意味します。
      bsc#1233819

    - DOCKER_NETWORK_OPTS を docker.service から削除します。これはかなり前に sysconfig から削除されましたが、場合によっては systemd で問題が発生するようです。

    - パラレルの docker-stable RPM がリポジトリに存在することを許可します。

    - docker-buildx v0.17.1 に更新し、弊社が置き換えるスタンドアロンの docker-buildx パッケージと一致させてください。オンラインで Upstream 変更ログを参照してくださいhttps://github.com/docker/buildx/releases/tag/v0.17.1>

    - ユーザーが /etc/sysconfig/docker で DOCKER_SUSE_SECRETS_ENABLE=0 を設定することで、SUSE シークレットサポートを無効にできるようにします。(bsc#1231348)

    - 従来の「docker build」が Docker 23.0 以降廃止されたため、docker-buildx を必須としてマークします。(bsc#1230331)

    - docker-buildx v0.16.2 をサブパッケージとしてインポートします。以前はこれは別のパッケージでしたが、docker-stable ではパッケージをまとめて維持することが必要になり、同じ OBS パッケージ内にそれらを存在させることがより理にかなっています。
      (bsc#1230333)

    - Docker 26.1.5-ce に更新します。オンラインで Upstream 変更ログを参照してくださいhttps://docs.docker.com/engine/release-notes/26.1/#2615>bsc#1230294

    - この更新は、以下の修正を含みます。
      * CVE-2024-41110。 bsc#1228324
      * CVE-2023-47108。 bsc#1217070 bsc#1229806
      * CVE-2023-45142。 bsc#1228553 bsc#1229806

    - Docker 26.1.4-ce に更新します。オンラインで Upstream 変更ログを参照してくださいhttps://docs.docker.com/engine/release-notes/26.1/#2614>

    - Docker 26.1.0-ce に更新します。オンラインで Upstream 変更ログを参照してくださいhttps://docs.docker.com/engine/release-notes/26.1/#2610>

    - 正しいバイナリパスを指すように --add-runtime を更新してください。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
189436	RHCOS 4：OpenShift Container Platform 4.14.9 (RHSA-2024: 0207)	Nessus	Red Hat Local Security Checks	2024/1/24	2024/1/24	high
209193	openSUSE 15 Security Update : etcd (SUSE-SU-2024:3656-1)	Nessus	SuSE Local Security Checks	2024/10/17	2024/10/18	critical
191658	Amazon Linux 2 : containerd (ALASECS-2024-035)	Nessus	Amazon Linux Local Security Checks	2024/3/6	2024/12/11	critical
189342	Amazon Linux 2023 : amazon-cloudwatch-agent (ALAS2023-2024-498)	Nessus	Amazon Linux Local Security Checks	2024/1/23	2024/12/11	medium
189436	RHCOS 4 : OpenShift Container Platform 4.14.9 (RHSA-2024:0207)	Nessus	Red Hat Local Security Checks	2024/1/24	2024/1/24	high
194371	RHEL 8 / 9 : OpenShift Container Platform 4.13.30 (RHSA-2024:0288)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	high
213069	SUSE SLES12 Security Update : docker (SUSE-SU-2024:4319-1)	Nessus	SuSE Local Security Checks	2024/12/17	2025/3/13	high
209193	openSUSE 15 セキュリティ更新: etcd (SUSE-SU-2024:3656-1)	Nessus	SuSE Local Security Checks	2024/10/17	2024/10/18	critical
191658	Amazon Linux 2 : containerd (ALASECS-2024-035)	Nessus	Amazon Linux Local Security Checks	2024/3/6	2024/12/11	critical
194371	RHEL 8 / 9 : OpenShift Container Platform 4.13.30 (RHSA-2024:0288)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	high
189342	Amazon Linux 2023 : amazon-cloudwatch-agent (ALAS2023-2024-498)	Nessus	Amazon Linux Local Security Checks	2024/1/23	2024/12/11	medium
189436	RHCOS 4 : OpenShift Container Platform 4.14.9 (RHSA-2024: 0207)	Nessus	Red Hat Local Security Checks	2024/1/24	2024/1/24	high
213069	SUSE SLES12 セキュリティ更新 : docker (SUSE-SU-2024:4319-1)	Nessus	SuSE Local Security Checks	2024/12/17	2025/3/13	high

检测

插件搜索

high

critical

critical

medium

high

high

high

critical

critical

high

medium

high

high