There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - An issue was discovered in Singularity 3.1.0 to 3.2.0-rc2, a malicious user with local/network access to
    the host system (e.g. ssh) could exploit this vulnerability due to insecure permissions allowing a user to
    edit files within `/run/singularity/instances/sing/<user>/<instance>`. The manipulation of those files can
    change the behavior of the starter-suid program when instances are joined resulting in potential privilege
    escalation on the host. (CVE-2019-11328)

CVE-2019-11328のセキュリティ修正

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このsingularityの更新では、次の問題を修正します：

  - 新しいバージョン3.6.0。このバージョンは、SIFイメージ用の新しい署名形式を導入し、次のセキュリティ問題に対処するために署名/検証コードに変更を加えます：

  - CVE-2020-13845、boo#1174150 3.6.0より前のSingularity 3.xバージョンでは、悪意のあるユーザーがECLをバイパスする可能性があります。

  - CVE-2020-13846、boo#1174148 Singularity 3.5では、SIFコンテナ内の一部のオブジェクトが署名されていないか、検証できない場合でも、singularity verifyに対する--all/-aオプションが成功を返します。

  - CVE-2020-13847、boo#1174152 3.6.0より前のSingularity 3.xバージョンでは、Singularityのsignコマンドとverifyコマンドが、SIFファイルのグローバルヘッダーまたはデータオブジェクト記述子で見つかったメタデータに署名しないため、攻撃者が予期せぬ動作を引き起こす可能性があります。署名されたコンテナが、悪意のある動作を引き起こすために利用され、変更された場合でも、検証に合格する可能性があります。

  - 新機能

  - 検証対象の新しい「--legacy-insecure」フラグにより、古くて安全でない形式のSIF署名の検証が可能になります。

  - インスタンスSTDERR/STDOUTログファイルへのパスを表示する、インスタンスリスト用の新しい「-l/--logs」フラグ。

  - インスタンスリストの--json出力に、STDERR/STDOUTログファイルへのパスが含まれるようになりました。

  - Singularityが、/bin/shを含まない最小限のDocker/OCIコンテナの実行をサポートするようになりました（例：
    docker：//hello-world）。

  - アトミック名前変更をサポートするファイルシステム上で同時実行セーフな新しいキャッシュ構造が使用されます。3.6の使用後にSingularity 3.5以前にダウングレードした場合は、singularity cache cleanを実行する必要があります。

  - プラグインシステムの変更により、新しいフックポイントが追加され、ランタイムの動作を変更するプラグインの開発が可能になります。プラグインがイメージマウントとオーバーレイマウントの新しい処理方法をサポートするために、イメージドライバーの概念が導入されました。3.5以前用にビルドされたプラグインは、3.6と互換性がありません。

  - --bindフラグで、SIFまたはext3イメージからコンテナにディレクトリをバインドできるようになりました。

  - FUSEドライバーを介してコンテナにファイルシステムをマウントする--fusemount機能が、サポート対象機能になりました（以前は実験的な隠しフラグでした）。

  - これにより、ユーザーは、ランタイムでsshfsやcvmfsなどのファイルシステムをコンテナにマウントできます。

  - 新しい-c/--configフラグにより、rootユーザーまたは非特権インストール内の全ユーザーが代替のsingularity.confを指定できます。

  - 新しい--envフラグにより、Singularityコマンドラインを介してコンテナの環境変数を設定できます。

  - 新しい--env-fileフラグにより、コンテナ環境変数を指定したファイルから設定できます。

  - キャッシュクリーン用の新しい--daysフラグにより、指定した日数より古い項目の削除が可能になります。キャッシュエントリがフレンドリ名ではなくハッシュによって保存されるため、有用性の低い--nameフラグを置き換えます。

  - デフォルト/動作を変更しました

  - 新しい署名形式（上記のセキュリティ修正を参照してください）。

  - 固定数のスペースを使用して長いインスタンス名に対応する代わりに、入力の長さに基づいて動的に変更されるように、singularityインスタンスリストのスペースを修正しました。

  - SINGUlarITYENV_プレフィックス付きの環境変数が、SINGUlarITYENV_プレフィックスなしの変数より常に優先されます。

  - %postビルドセクションが、ベースイメージから環境変数を継承します。

  - %files from ...が、直接指定されたか、globパターンから直接解決されたソースのシンボリックリンクに従うようになりました。ディレクトリトラバーサルを通して見つかったシンボリックリンクはたどりません。これは、Dockerの多段階COPY動作を反映しています。

  - v2のCWDマウント動作を復元しました。これは、CWDパスがコンテナ内で再作成されず、コンテナ内の宛先パスを決定するためにCWDパス内のシンボリックリンクが解決されなくなったことを意味します。

  - %testビルドセクションが、singularity test imageと同じ方法で実行されます。

    コンテナを使用した--fusemount：デフォルトディレクティブが、FUSEプロセスをフォアグラウンドにします。以前の動作には、container-daemon：を使用してください。

  - 新しい署名動作によってデフォルトにならないように、署名/検証するための-a/--allオプションを廃止します。

  - アップストリーム変更の詳細については、以下をチェックしてください：
    https://github.com/hpcng/singularity/blob/master/CHANGELOG.md

  - キャッシュクリーン用の--nameフラグを削除し、
    --days。

Security fix for CVE-2019-11328

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for singularity fixes the following issues :

  - New version 3.6.0. This version introduces a new     signature format for SIF images, and changes to the     signing / verification code to address the following     security problems :

  - CVE-2020-13845, boo#1174150 In Singularity 3.x versions     below 3.6.0, issues allow the ECL to be bypassed by a     malicious user.

  - CVE-2020-13846, boo#1174148 In Singularity 3.5 the --all     / -a option to singularity verify returns success even     when some objects in a SIF container are not signed, or     cannot be verified.

  - CVE-2020-13847, boo#1174152 In Singularity 3.x versions     below 3.6.0, Singularity's sign and verify commands do     not sign metadata found in the global header or data     object descriptors of a SIF file, allowing an attacker     to cause unexpected behavior. A signed container may     verify successfully, even when it has been modified in     ways that could be exploited to cause malicious     behavior.

  - New features / functionalities

  - A new '--legacy-insecure' flag to verify allows     verification of SIF signatures in the old, insecure     format.

  - A new '-l / --logs' flag for instance list that shows     the paths to instance STDERR / STDOUT log files.

  - The --json output of instance list now include paths to     STDERR / STDOUT log files.

  - Singularity now supports the execution of minimal     Docker/OCI containers that do not contain /bin/sh, e.g.
    docker://hello-world.

  - A new cache structure is used that is concurrency safe     on a filesystem that supports atomic rename. If you     downgrade to Singularity 3.5 or older after using 3.6     you will need to run singularity cache clean.

  - A plugin system rework adds new hook points that will     allow the development of plugins that modify behavior of     the runtime. An image driver concept is introduced for     plugins to support new ways of handling image and     overlay mounts. Plugins built for <=3.5 are not     compatible with 3.6.

  - The --bind flag can now bind directories from a SIF or     ext3 image into a container.

  - The --fusemount feature to mount filesystems to a     container via FUSE drivers is now a supported feature     (previously an experimental hidden flag).

  - This permits users to mount e.g. sshfs and cvmfs     filesystems to the container at runtime.

  - A new -c/--config flag allows an alternative     singularity.conf to be specified by the root user, or     all users in an unprivileged installation.

  - A new --env flag allows container environment variables     to be set via the Singularity command line.

  - A new --env-file flag allows container environment     variables to be set from a specified file.

  - A new --days flag for cache clean allows removal of     items older than a specified number of days. Replaces     the --name flag which is not generally useful as the     cache entries are stored by hash, not a friendly name.

  - Changed defaults / behaviours

  - New signature format (see security fixes above).

  - Fixed spacing of singularity instance list to be     dynamically changing based off of input lengths instead     of fixed number of spaces to account for long instance     names.

  - Environment variables prefixed with SINGULARITYENV_     always take precedence over variables without     SINGULARITYENV_ prefix.

  - The %post build section inherits environment variables     from the base image.

  - %files from ... will now follow symlinks for sources     that are directly specified, or directly resolved from a     glob pattern. It will not follow symlinks found through     directory traversal. This mirrors Docker multi-stage     COPY behaviour.

  - Restored the CWD mount behaviour of v2, implying that     CWD path is not recreated inside container and any     symlinks in the CWD path are not resolved anymore to     determine the destination path inside container.

  - The %test build section is executed the same manner as     singularity test image.

    --fusemount with the container: default directive will     foreground the FUSE process. Use container-daemon: for     previous behavior.

  - Deprecate -a / --all option to sign/verify as new     signature behavior makes this the default.

  - For more information about upstream changes, please     check:
    https://github.com/hpcng/singularity/blob/master/CHANGEL     OG.md

  - Removed --name flag for cache clean; replaced with
    --days.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
410584	SCA: security update for github.com/sylabs/singularity (GHSA-557g-r22w-9wvx)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	high
400565	Alpine: singularity: security update to 3.1.1-r0 (deprecated)	Tenable Cloud Security	Alpine Linux Local Security Checks	2023/8/16	2026/7/2	high
400565	Alpine: singularity: security update to 3.1.1-r0 (deprecated)	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2023/8/16	2026/7/2	high
410584	SCA: security update for github.com/sylabs/singularity (GHSA-557g-r22w-9wvx)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	high
125376	Fedora 28：singularity（2019-9f48c6fedc）	Nessus	Fedora Local Security Checks	2019/5/24	2024/5/21	high
138979	openSUSEセキュリティ更新プログラム：singularity（openSUSE-2020-1037）	Nessus	SuSE Local Security Checks	2020/7/27	2024/2/28	high
125378	Fedora 30：singularity（2019-da2ed3b0b5）	Nessus	Fedora Local Security Checks	2019/5/24	2024/5/21	high
125423	Fedora 29：singularity（2019-25ecc42592）	Nessus	Fedora Local Security Checks	2019/5/28	2024/5/20	high
125378	Fedora 30 : singularity (2019-da2ed3b0b5)	Nessus	Fedora Local Security Checks	2019/5/24	2024/5/21	high
125423	Fedora 29 : singularity (2019-25ecc42592)	Nessus	Fedora Local Security Checks	2019/5/28	2024/5/20	high
125376	Fedora 28 : singularity (2019-9f48c6fedc)	Nessus	Fedora Local Security Checks	2019/5/24	2024/5/21	high
138979	openSUSE Security Update : singularity (openSUSE-2020-1037)	Nessus	SuSE Local Security Checks	2020/7/27	2024/2/28	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high