现已提供 Red Hat OpenShift Container Platform 4.1 的 openshift 更新。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat OpenShift Container Platform 是 Red Hat 的云计算 Kubernetes 应用程序平台解决方案，专门针对本地部署或私有云端部署而设计。安全修复：* libseccomp-golang：多个参数规则处理不当，造成绕过预期的访问权限限制 (CVE-2017-18367) * kubernetes：承载程序令牌以高详细程度 (>= 7) 写入日志 (CVE-2019-11250) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

远程 Ubuntu 16.04 LTS 主机上安装的程序包受到 USN-4574-1 公告中提及的漏洞的影响。

  - libseccomp-golang 0.9.0 及其之前版本错误生成的 BPF 与多个参数进行“或”操作，而不是对其进行“与”操作。在已指定多个 syscall 参数的限制性 seccomp 过滤器下运行的进程可通过指定单个匹配参数来绕过预期访问限制。
    (CVE-2017-18367)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

在已指定多个 syscall 参数的限制性 seccomp 过滤器下运行的进程可通过指定单个匹配参数来绕过预期访问限制。

此外，已使用修复的程序包重新构建 runc。

对于 Debian 9 stretch，已在版本 0.0~git20150813.0.1b506fc-2+deb9u1 中解决此问题。

我们建议您升级 golang-github-seccomp-libseccomp-golang 和 runc 程序包，并使用 golang-github-seccomp-libseccomp-golang 重新编译自己的 Go 代码。

如需了解 golang-github-seccomp-libseccomp-golang 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/golang-github-seccomp-libs eccomp-golang

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 2479 公告中提及的多个漏洞的影响。

  - libseccomp-golang：多个参数规则处理不当，造成绕过预期的访问权限限制 (CVE-2017-18367)

  - kubernetes：授权用户可通过构建的 YAML 负载造成 API 服务器拒绝服务 (CVE-2019-11254)

  - kubernetes：用户可利用 kube-controller-manager 中的服务器端请求伪造 (SSRF) 泄露机密信息 (CVE-2020-8555)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

运行 CORE 5.04 / MAIN 5.04 版本的远程 NewStart CGSL 主机上安装的 docker-ce 程序包受到多个漏洞的影响：

  - 在 Docker-CE（亦称为 Moby）的 1.12.6-0、1.10.3、17.03.0、17.03.1、17.03.2、17.06.0、17.06.1、17.06.2、17.09.0 和之前版本中缺少内容验证可让远程攻击者通过特制的图像层负载（亦即 gzip bombing），造成拒绝服务。(CVE-2017-14992)

  - 在 Docker Moby 17.03.2-ce 及之前版本中，oci/defaults.go 中的 DefaultLinuxSpec 函数未阻塞 /proc/scsi 路径名，攻击者可以借此通过利用 Docker 容器访问权将 scsi remove-single-device 行写入到 /proc/scsi/scsi 中，即 SCSI MICDROP，进而触发数据损失（前提是使用某些较老的 Linux 内核）。(CVE-2017-16539)

  - libseccomp-golang 0.9.0 及其之前版本错误生成的 BPF 与多个参数进行“或”操作，而不是对其进行“与”操作。在已指定多个 syscall 参数的限制性 seccomp 过滤器下运行的进程可通过指定单个匹配参数来绕过预期访问限制。
    (CVE-2017-18367)

  Docker/Moby 中 oci/defaults{_linux}.go 的默认 OCI Linux 规范（从 1.11 至当前版本），未阻止 /proc/acpi 路径名。此缺陷允许攻击者修改主机硬件，如启用/禁用蓝牙或调高/调低键盘亮度。(CVE-2018-10892)

  - 在 Docker 18.06.1-ce-rc2 及之前的版本中，'docker cp' 命令后的 API 端点容易受到具有目录遍历的符号链接交换攻击，从而使攻击者可以利用根特权对主机文件系统进行任意读取和写入，因为 daemon/archive.go 不在冻结的文件系统上（或者从 chroot 内部）执行存档操作。(CVE-2018-15664)

  - 18.09 版本之前的 Docker Engine 使得攻击者可以通过 --cpuset-mems 或 --cpuset-cpus 值中的大整数造成拒绝服务（dockerd 内存消耗），这与 daemon/daemon_unix.go、pkg/parsers/parsers.go 和 pkg/sysinfo/sysinfo.go 相关。(CVE-2018-20699)

  - 在 18.09.4 版本之前的 Docker 中，能够为 docker 构建命令提供或操纵构建路径的攻击者能够获得命令执行。docker 构建处理远程 git URL 的方式存在问题，使得命令注入到底层 git 克隆命令中，进而导致在执行 docker 构建命令的用户上下文中执行代码。这是因为 git ref 可能被误解成了标志。(CVE-2019-13139)

  - 在 18.09.8 版本之前的 Docker CE and EE 中（以及 17.06.2-ee-23 版本之前的 Docker EE 和 18.03.1-ee-10 版本之前的 18.x 中），处于调试模式的 Docker Engine 有时会向调试日志添加秘密。此类情况适用于运行 docker 堆栈部署，以重新部署包含（非外部）秘密的堆栈。如果重新发送秘密，可能适用于堆栈 API 的其他 API 用户。(CVE-2019-13509)

  - 1.0-rc6 版本及之前的 runc（在 18.09.2 版本之前的 Docker 和其他产品中使用）使得攻击者可以通过利用在这些类型的容器中作为根执行命令的能力，重写主机 runc 二进制文件（从而获得主机根访问权）：(1) 包含攻击者控制的图像的新容器，或 (2) 攻击者之前具有写入权并且可以附加 docker exec 的现有容器。这是因为文件描述符处理不当，与 /proc/self/exe 有关。
    (CVE-2019-5736)

  - 在 19.03.11 版本之前的 Docker Engine 中发现问题。具有 CAP_NET_RAW 能力的容器中的攻击者可特制 IPv6 路由器公告，进而欺骗外部 IPv6 主机，获取敏感信息或造成拒绝服务。(CVE-2020-13401)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

运行 CORE 5.05 / MAIN 5.05 版本的远程 NewStart CGSL 主机上安装的 docker-ce 程序包受到多个漏洞的影响：

  - 在 Docker-CE（亦称为 Moby）的 1.12.6-0、1.10.3、17.03.0、17.03.1、17.03.2、17.06.0、17.06.1、17.06.2、17.09.0 和之前版本中缺少内容验证可让远程攻击者通过特制的图像层负载（亦即 gzip bombing），造成拒绝服务。(CVE-2017-14992)

  - 在 Docker Moby 17.03.2-ce 及之前版本中，oci/defaults.go 中的 DefaultLinuxSpec 函数未阻塞 /proc/scsi 路径名，攻击者可以借此通过利用 Docker 容器访问权将 scsi remove-single-device 行写入到 /proc/scsi/scsi 中，即 SCSI MICDROP，进而触发数据损失（前提是使用某些较老的 Linux 内核）。(CVE-2017-16539)

  - libseccomp-golang 0.9.0 及其之前版本错误生成的 BPF 与多个参数进行“或”操作，而不是对其进行“与”操作。在已指定多个 syscall 参数的限制性 seccomp 过滤器下运行的进程可通过指定单个匹配参数来绕过预期访问限制。
    (CVE-2017-18367)

  Docker/Moby 中 oci/defaults{_linux}.go 的默认 OCI Linux 规范（从 1.11 至当前版本），未阻止 /proc/acpi 路径名。此缺陷允许攻击者修改主机硬件，如启用/禁用蓝牙或调高/调低键盘亮度。(CVE-2018-10892)

  - 在 Docker 18.06.1-ce-rc2 及之前的版本中，'docker cp' 命令后的 API 端点容易受到具有目录遍历的符号链接交换攻击，从而使攻击者可以利用根特权对主机文件系统进行任意读取和写入，因为 daemon/archive.go 不在冻结的文件系统上（或者从 chroot 内部）执行存档操作。(CVE-2018-15664)

  - 18.09 版本之前的 Docker Engine 使得攻击者可以通过 --cpuset-mems 或 --cpuset-cpus 值中的大整数造成拒绝服务（dockerd 内存消耗），这与 daemon/daemon_unix.go、pkg/parsers/parsers.go 和 pkg/sysinfo/sysinfo.go 相关。(CVE-2018-20699)

  - 在 18.09.4 版本之前的 Docker 中，能够为 docker 构建命令提供或操纵构建路径的攻击者能够获得命令执行。docker 构建处理远程 git URL 的方式存在问题，使得命令注入到底层 git 克隆命令中，进而导致在执行 docker 构建命令的用户上下文中执行代码。这是因为 git ref 可能被误解成了标志。(CVE-2019-13139)

  - 在 18.09.8 版本之前的 Docker CE and EE 中（以及 17.06.2-ee-23 版本之前的 Docker EE 和 18.03.1-ee-10 版本之前的 18.x 中），处于调试模式的 Docker Engine 有时会向调试日志添加秘密。此类情况适用于运行 docker 堆栈部署，以重新部署包含（非外部）秘密的堆栈。如果重新发送秘密，可能适用于堆栈 API 的其他 API 用户。(CVE-2019-13509)

  - 1.0-rc6 版本及之前的 runc（在 18.09.2 版本之前的 Docker 和其他产品中使用）使得攻击者可以通过利用在这些类型的容器中作为根执行命令的能力，重写主机 runc 二进制文件（从而获得主机根访问权）：(1) 包含攻击者控制的图像的新容器，或 (2) 攻击者之前具有写入权并且可以附加 docker exec 的现有容器。这是因为文件描述符处理不当，与 /proc/self/exe 有关。
    (CVE-2019-5736)

  - 在 19.03.11 版本之前的 Docker Engine 中发现问题。具有 CAP_NET_RAW 能力的容器中的攻击者可特制 IPv6 路由器公告，进而欺骗外部 IPv6 主机，获取敏感信息或造成拒绝服务。(CVE-2020-13401)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
132225	RHEL 7 / 8 : OpenShift Container Platform 4.1 openshift (RHSA-2019:4087)	Nessus	Red Hat Local Security Checks	2019/12/18	2024/6/3	high
141302	Ubuntu 16.04 LTS：libseccomp-golang 漏洞 (USN-4574-1)	Nessus	Ubuntu Local Security Checks	2020/10/8	2023/10/20	high
139518	Debian DLA-2320-1：golang-github-seccomp-libseccomp-golang 安全更新	Nessus	Debian Local Security Checks	2020/8/12	2024/2/26	high
137668	RHEL 7：OpenShift Container Platform 3.11 atomic-openshift (RHSA-2020: 2479)	Nessus	Red Hat Local Security Checks	2020/6/19	2024/6/4	high
143962	NewStart CGSL CORE 5.04 / MAIN 5.04：docker-ce 多个漏洞 (NS-SA-2020-0082)	Nessus	NewStart CGSL Local Security Checks	2020/12/9	2021/7/1	high
154519	NewStart CGSL CORE 5.05 / MAIN 5.05 : docker-ce 多个漏洞 (NS-SA-2021-0138)	Nessus	NewStart CGSL Local Security Checks	2021/10/27	2021/10/28	high

检测

插件搜索

high

high

high

high

high

high