The file-descriptor passed by libcontainer to the pid-1 process of a container has been found to be opened prior to performing the chroot, allowing insecure open and symlink traversal. This allows malicious container images to trigger a local privilege escalation.
(CVE-2015-3627)

Libcontainer version 1.6.0 introduced changes which facilitated a mount namespace breakout upon respawn of a container. This allowed malicious images to write files to the host system and escape containerization. (CVE-2015-3629)

Several paths underneath /proc were writable from containers, allowing global system manipulation and configuration. These paths included /proc/asound, /proc/timer_stats, /proc/latency_stats, and /proc/fs. By allowing writes to /proc/fs, it has been noted that CIFS volumes could be forced into a protocol downgrade attack by a root user operating inside of a container. Machines having loaded the timer_stats module were vulnerable to having this mechanism enabled and consumed by a container. (CVE-2015-3630)

By allowing volumes to override files of /proc within a mount namespace, a user could specify arbitrary policies for Linux Security Modules, including setting an unconfined policy underneath AppArmor, or a docker_t policy for processes managed by SELinux. In all versions of Docker up until 1.6.1, it is possible for malicious images to configure volume mounts such that files of proc may be overridden.
(CVE-2015-3631)

The Linux container runtime environment Docker was updated to version 1.6.2 to fix several security and non-security issues.

  - Security :

  - Fix read/write /proc paths. (CVE-2015-3630)

  - Prohibit VOLUME /proc and VOLUME /. (CVE-2015-3631)

  - Fix opening of file-descriptor 1. (CVE-2015-3627)

  - Fix symlink traversal on container respawn allowing     local privilege escalation. (CVE-2015-3629)

  - Runtime :

  - Update Apparmor policy to not allow mounts.

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

docker was updated to version 1.6.1 to fix several security and non-security issues. 

  - Updated to version 1.6.1 (2015-05-07) [bnc#930235]

  - Security

  - Fix read/write /proc paths (CVE-2015-3630)

  - Prohibit VOLUME /proc and VOLUME / (CVE-2015-3631)

  - Fix opening of file-descriptor 1 (CVE-2015-3627)

  - Fix symlink traversal on container respawn allowing     local privilege escalation (CVE-2015-3629)

  - Prohibit mount of /sys

  - Runtime

  - Update Apparmor policy to not allow mounts

  - Updated libcontainer-apparmor-fixes.patch: adapt patch     to reflect changes introduced by docker 1.6.1

docker 已更新至 1.6.1 版，可修正數個安全性和非安全性問題。

- 已更新至 1.6.1 版 (2015-05-07) [bnc#930235]

- Security

- 修正讀取/寫入/proc 路徑 (CVE-2015-3630)

- 防止 VOLUME /proc 和 VOLUME / (CVE-2015-3631)

- 修正檔案描述符號 1 的開啟 (CVE-2015-3627)

- 修正容器 respawn 上允許本機權限提升的符號連結遊走問題 (CVE-2015-3629)

- 防止 /sys 的掛載

- 運行時間

- 將 Apparmor 原則更新為不允許掛載

- 已更新 libcontainer-apparmor-fixes.patch：調整修補程式以反映 docker 1.6.1 引入的變更

據發現，由 libcontainer 傳遞至容器 pid-1 處理程序的檔案描述符號，在執行 chroot 之前就開啟，這會帶來不安全的開啟隱患和符號連結遊走問題。這可能導致惡意的容器影像觸發本機權限提升。
(CVE-2015-3627)

Libcontainer 1.6.0 版引入了一些變更，導致容器再生時發生掛載命名空間入侵。這會允許惡意影像將檔案寫入主機系統並執行逸出容器化的動作。(CVE-2015-3629)

/proc 下有數個路徑可從容器寫入，進而允許全域系統操控和組態。這些路徑包括 /proc/asound、/proc/timer_stats、/proc/latency_stats 和 /proc/fs。據報告，藉由允許寫入 /proc/fs，在容器內作業的 root 使用者可強制 CIFS 磁碟區接受通訊協定降級攻擊。若啟用這個機制且由容器消耗，則已載入 timer_stats 模組的機器容易受到弱點影響。(CVE-2015-3630)

藉由允許磁碟區覆寫掛載命名空間內 /proc 的檔案，使用者可為 Linux Security 模組指定任意原則，包括在 AppArmor 下設定不受限的原則，或是為受 SELinux 管理的處理程序指定 docker_t 原則。在 1.6.1 版之前的所有 Docker 版本中，惡意影像可設定磁碟區掛載，使 proc 的檔案遭到覆寫。
(CVE-2015-3631)

docker 已更新到版本 1.6.1，修复了多个安全和非安全问题。

- 已更新到版本 1.6.1 (2015-05-07) [bnc#930235]

- Security

- 修复读取/写入/proc 路径 (CVE-2015-3630)

- 禁止 VOLUME /proc 和 VOLUME / (CVE-2015-3631)

- 修复 file-descriptor 1 的打开 (CVE-2015-3627)

- 修复容器再生时允许本地权限升级的符号链接遍历 (CVE-2015-3629)

- 禁止 /sys 的挂载

- Runtime

- 更新 Apparmor 策略以禁止挂载

- 更新了 libcontainer-apparmor-fixes.patch：调整修补程序以反映 docker 1.6.1 引入的变更

Linux コンテナランタイム環境の Docker がバージョン 1.6.2 に更新され、いくつかのセキュリティおよび非セキュリティ問題が修正されました。

- セキュリティ：

- 読み込み/書き込み/proc パスを修正します。(CVE-2015-3630)

- VOLUME/proc および VOLUME/ を禁止します。(CVE-2015-3631)

- ファイル記述子 1 を開く動作を修正します。(CVE-2015-3627)

- ローカルの権限昇格が可能になるコンテナのリスポンにおけるシンボリックリンクトラバーサルを修正します。(CVE-2015-3629)

- ランタイム：

- マウントを禁止するために Apparmor ポリシーを更新します。

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

libcontainer によりコンテナの pid-1 プロセスに渡されるファイル記述子が、chroot を実行する前に開かれていたことが判明しました。これにより、安全でないオープンおよびシンボリックリンクトラバーサルを引き起こす可能性があります。このため、悪意あるコンテナ画像により、ローカルの権限昇格が発生する可能性があります。
(CVE-2015-3627)

Libcontainer バージョン 1.6.0により変更が導入され、コンテナのリスポン時にマウント名前空間のブレイクアウトを発生させました。これにより、悪意ある画像がホストシステムにファイルを書き込み、コンテナ化がエスケープされる可能性があります。(CVE-2015-3629)

/proc の下のいくつかのパスがコンテナから書き込み可能であったため、グローバルシステムの操作および構成が実行される可能性があります。これらのパスには、/proc/asound、/proc/timer_stats、/proc/latency_stats、および /proc/fs が含まれていました。/proc/fs への書き込みを許可することで、CIFS ボリュームが、コンテナ内で操作する root ユーザーによるプロトコルダウングレード攻撃にさらされることが認識されています。timer_stats モジュールをロードしたマシンは、コンテナによりこのメカニズムを有効および消費されることに脆弱でした。(CVE-2015-3630)

ボリュームにマウント名前空間内の /proc のファイルをオーバーライドさせることで、ユーザーが、AppArmor の下での制限されないポリシーの設定、または SELinux が管理するプロセスに対する docker_t ポリシーの設定を含む、Linux Security Modules に対して任意のポリシーを指定する可能性があります。1.6.1 までの Docker のすべてのバージョンでは、proc のファイルがオーバーライドされるように、悪意ある画像がボリュームマウントを構成する可能性があります。
(CVE-2015-3631)

Linux 容器運行時間環境 Docker 已更新至 1.6.2 版，可修正數個安全性和非安全性問題。

- 安全性：

- 修正 read/write /proc 路徑。(CVE-2015-3630)

- 防止 VOLUME /proc 和 VOLUME /。(CVE-2015-3631)

- 修正檔案描述符號 1 的開啟(CVE-2015-3627)

- 修正容器 respawn 上允許本機權限提升的符號連結遊走問題。(CVE-2015-3629)

- 運行時間：

- 將 Apparmor 原則更新為不允許掛載。

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

複数のセキュリティの問題および非セキュリティ問題を修正するために、docker がバージョン 1.6.1 に更新されています。

- バージョン 1.6.1 に更新しました（2015-05-07）[bnc#930235]

- Security

- 読み込み/書き込み/proc パスを修正します（CVE-2015-3630）

- VOLUME/proc および VOLUME/ を禁止します（CVE-2015-3631）

- ファイル記述子 1 の開く動作を修正します（CVE-2015-3627）

- ローカルの権限昇格が可能になるコンテナのリスポンにおけるシンボリックリンクトラバーサルを修正します（CVE-2015-3629）

- /sys のマウントを禁止します

- Runtime

- マウントを禁止するために Apparmor ポリシーを更新します

- libcontainer-apparmor-fixes.patch: adapt patch を更新しました：docker 1.6.1 によって導入された変更を反映するため、パッチを採用

已发现在执行 chroot 之前打开由 libcontainer 传递给容器的 pid-1 进程的 file-descriptor，允许不安全的打开和符号链接遍历。这允许恶意容器图像触发本地权限升级。
(CVE-2015-3627)

Libcontainer 版本 1.6.0 引入了更改，以便于在容器再生时挂载命名空间中断。这允许恶意图像将文件写入主机系统，以及转义容器化。(CVE-2015-3629)

可以从容器写入 /proc 之下的多条路径，因此允许全局系统操纵和配置。这些路径包括 /proc/asound、/proc/timer_stats、/proc/latency_stats 和 /proc/fs。一旦允许写入 /proc/fs，就会注意到可通过根用户在容器之内操作来将 CIFS 卷强制处于协议降级攻击状态。已加载 timer_stats 模块的计算机容易使容器启用并消耗此机制。(CVE-2015-3630)

通过允许卷替代挂载命名空间之内的 /proc 的文件，用户可以为 Linux 安全模块指定任意策略，包括在 AppArmor 之下设置未定义的策略，或者为 SELinux 管理的进程设置 docker_t 策略。在 1.6.1 及之前的所有 Docker 版本中，恶意图像可能配置卷挂载，因此可替代 proc 的文件。
(CVE-2015-3631)

Linux 容器运行时环境 Docker 已更新到版本 1.6.2，修复了多个安全问题和非安全问题。

- 安全：

- 修复读取/写入 /proc 路径。(CVE-2015-3630)

- 禁止 VOLUME /proc 和 VOLUME /。(CVE-2015-3631)

- 修复 file-descriptor 1 的打开。(CVE-2015-3627)

- 修复允许本地权限升级的容器再生中的符号链接遍历。(CVE-2015-3629)

- Runtime：

- 更新 Apparmor 策略，不允许挂载。

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
83280	Amazon Linux AMI : docker (ALAS-2015-522)	Nessus	Amazon Linux Local Security Checks	2015/5/8	2018/4/18	high
83970	SUSE SLES12 Security Update : docker (SUSE-SU-2015:0984-1)	Nessus	SuSE Local Security Checks	2015/6/3	2021/1/6	high
83557	openSUSE Security Update : docker (openSUSE-2015-365)	Nessus	SuSE Local Security Checks	2015/5/20	2021/1/19	high
83557	openSUSE 安全性更新：docker (openSUSE-2015-365)	Nessus	SuSE Local Security Checks	2015/5/20	2021/1/19	high
83280	Amazon Linux AMI：docker (ALAS-2015-522)	Nessus	Amazon Linux Local Security Checks	2015/5/8	2018/4/18	high
83557	openSUSE 安全更新：docker (openSUSE-2015-365)	Nessus	SuSE Local Security Checks	2015/5/20	2021/1/19	high
83970	SUSE SLES12 セキュリティ更新： docker （SUSE-SU-2015：0984-1）	Nessus	SuSE Local Security Checks	2015/6/3	2021/1/6	high
83280	Amazon Linux AMI：docker (ALAS-2015-522)	Nessus	Amazon Linux Local Security Checks	2015/5/8	2018/4/18	high
83970	SUSE SLES12 安全性更新：docker (SUSE-SU-2015:0984-1)	Nessus	SuSE Local Security Checks	2015/6/3	2021/1/6	high
83557	openSUSE セキュリティ更新：docker（openSUSE-2015-365）	Nessus	SuSE Local Security Checks	2015/5/20	2021/1/19	high
83280	Amazon Linux AMI：docker (ALAS-2015-522)	Nessus	Amazon Linux Local Security Checks	2015/5/8	2018/4/18	high
83970	SUSE SLES12 安全更新：docker (SUSE-SU-2015:0984-1)	Nessus	SuSE Local Security Checks	2015/6/3	2021/1/6	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high