runc 的更新现可用于 Red Hat OpenShift Container Platform 4.1。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat OpenShift Container Platform 是 Red Hat 的云计算 Kubernetes 应用程序平台解决方案，专门针对本地部署或私有云端部署而设计。此公告含有适用于 Red Hat OpenShift Container Platform 4.1.24 版的 runC 容器镜像。runC 工具是可提供容器运行时的轻量级、可携式 Open Container Format (OCF) 实现。安全修复：* runc：通过指定了 /proc 目录中卷的恶意镜像造成的 AppArmor/SELinux 绕过 (CVE-2019-16884) 有关此安全问题的详细信息，包括其影响、CVSS 分数、确认和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2019:4269 中提及的多个漏洞的影响。

  - 在 Docker 19.03.2-ce 及之前版本和其他产品所使用的 runc 1.0.0-rc8 及之前版本中，存在 AppArmor 限制绕过漏洞，这是因为 libcontainer/rootfs_linux.go 未正确检查挂载目标，因此恶意 Docker 图像可挂载到 /proc 目录上。(CVE-2019-16884)

  - 在 1.6.0之前的 libpod 的 Podman 中发现一个问题。由于发生了不需要的 glob 操作从容器到主机的复制操作期间它解析主机上下文中的符号链接。攻击者可创建包含特定符号链接的容器映像当受害者用户将其复制到主机文件系统时可能用主机中的其他文件覆盖现有文件。 (CVE-2019-18466)

  - 某些 HTTP/2 实现容易受到 ping 洪流攻击，可能导致拒绝服务。攻击者向 HTTP/2 对等体发送连续 ping，导致对等体构建内部响应队列。根据数据排队的效率，这种攻击可能过度消耗 CPU、内存或两者兼有。
    (CVE-2019-9512)

  - 某些 HTTP/2 实现容易受到重置洪流攻击，可能导致拒绝服务。
    攻击者打开多个流，并通过每个流发送一个无效请求，该请求应该从对等体请求 RST_STREAM 帧流。根据对等机 RST_STREAM 帧排队的方式，这种攻击可能会过度消耗内存、CPU 或两者兼有。(CVE-2019-9514)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

runc 的更新现可用于 Red Hat OpenShift Container Platform 4.2。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat OpenShift Container Platform 是 Red Hat 的云计算 Kubernetes 应用程序平台解决方案，专门针对本地部署或私有云端部署而设计。此公告含有适用于 Red Hat OpenShift Container Platform 4.2.9 版的 runc RPM 程序包。runC 工具是可提供容器运行时的轻量级、可携式 Open Container Format (OCF) 实现。安全修复：* runc：通过指定了 /proc 中卷的恶意镜像造成的 AppArmor/SELinux 绕过 (CVE-2019-16884) 有关此安全问题的详细信息，包括其影响、CVSS 分数、确认和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

远程主机上安装的 runc 版本低于 1.0.0-0.1.20200204.gitdc9208a.1。因此如公告 ALAS-2021-1556 所述受到多个漏洞的影响。

    Docker 至 19.03.2-ce 及其他产品中所使用的 1.0.0-rc8 至 版本的 runc 允许绕过 AppArmor 限制因为 libcontainer/rootfs_linux.go 未正确检查挂载目标因此恶意 Docker 图像可以通过 /proc 目录挂载。 (CVE-2019-16884)

    在 runc 中发现一个缺陷。控制了共享一个卷的两个容器的容器图像的攻击者通过将符号链接添加到指向卷上目录的 rootfs可在容器初始化期间与卷挂载争用。此漏洞最大的威胁在于数据机密性和完整性，以及系统可用性。(CVE-2019-19921)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 1234 公告中提及的多个漏洞的影响。

  - runc：使用在 /proc 处指定卷的恶意图像进行 AppArmor/SELinux 绕过 (CVE-2019-16884)

  - containers/image：容器映像将整个图像清单读取到内存中 (CVE-2020-1702)

  - proglottis/gpgme：在容器映像拉取期间，GPGME 绑定中存在释放后使用 (CVE-2020-8945)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

发现 runC 未能正确检查挂载目标。具有恶意容器图像的攻击者可能会通过 /proc 目录进行挂载并提升特权。此问题仅影响 Ubuntu 18.04 LTS。(CVE-2019-16884)

发现 runC 未正确执行访问控制。攻击者可能利用此问题提升特权。
(CVE-2019-19921)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Debian 10 主机上安装的程序包受到 dla-3369 公告中提及的多个漏洞影响。

  - 在 Docker 19.03.2-ce 及之前版本和其他产品所使用的 runc 1.0.0-rc8 及之前版本中，存在 AppArmor 限制绕过漏洞，这是因为 libcontainer/rootfs_linux.go 未正确检查挂载目标，因此恶意 Docker 图像可挂载到 /proc 目录上。(CVE-2019-16884)

  - 1.0.0-rc9 及之前的 runc 版本含有导致权限提升的错误访问控制，此问题与 libcontainer/rootfs_linux.go 相关。要利用此问题，攻击者必须能够生成两个具有自定义 volume-mount 配置的容器，并且能够运行自定义图像。（此漏洞不会影响 Docker，因为实现的详细信息恰好阻挡了攻击。）(CVE-2019-19921)

  - 1.0.0-rc95 之前的 runc 允许攻击者通过目录遍历损坏容器文件系统。要利用此漏洞，攻击者必须要能够使用相当具体的挂载配置创建多个容器。通过依赖争用条件的符号链接交换攻击可以触发此问题。
    (CVE-2021-30465)

  - runc 是一款用于根据 OCI 规范在 Linux 上生成和运行容器的 CLI 工具。在低于 1.1.2 版本的 runc 中发现一个错误，其中 `runc exec --cap` 以非空、可继承的 Linux 进程功能创建了进程，从而创建非典型 Linux 环境，并使具有可继承文件功能的程序在 execve(2) 期间将这些功能提升至允许的集。此错误不影响容器安全沙盒，因为可继承集包含的功能绝不会多于容器边界集中包含的功能。此缺陷已在 runc 1.1.2 版中修复。此补丁更改了 `runc exec --cap` 行为，使得授予正在执行的进程的其他功能（通过 `--cap` 参数指定）不包括可继承的功能。此外，`runc spec` 已更改为不在创建的示例 OCI 规范 (`config.json`) 文件中设置任何可继承的功能。(CVE-2022-29162)

  - 1.1.4 及之前的 runc 版本含有导致权限提升的错误访问控制，此问题与 libcontainer/rootfs_linux.go 相关。要利用此问题，攻击者必须能够生成两个具有自定义 volume-mount 配置的容器，并且能够运行自定义图像。注意：存在此问题的原因是 CVE-2019-19921 回归。(CVE-2023-27561)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 10 主机上安装的程序包受到 dla-3322 公告中提及的一个漏洞影响。

  - 在 Docker 19.03.2-ce 及之前版本和其他产品所使用的 runc 1.0.0-rc8 及之前版本中，存在 AppArmor 限制绕过漏洞，这是因为 libcontainer/rootfs_linux.go 未正确检查挂载目标，因此恶意 Docker 图像可挂载到 /proc 目录上。(CVE-2019-16884)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 7 主机上安装的程序包受到 RHSA-2020:1234 公告中提及的多个漏洞影响。

  - 在 Docker 19.03.2-ce 及之前版本和其他产品所使用的 runc 1.0.0-rc8 及之前版本中，存在 AppArmor 限制绕过漏洞，这是因为 libcontainer/rootfs_linux.go 未正确检查挂载目标，因此恶意 Docker 图像可挂载到 /proc 目录上。(CVE-2019-16884)

  - 将恶意容器映像提取至容器运行时主机（例如使用 podman 的 Red Hat Enterprise Linux 或 OpenShift Container Platform）时，可能会消耗无限量的内存。攻击者可利用此缺陷诱骗具有容器映像提取权限的用户，导致负责提取映像的进程崩溃。此缺陷影响 5.2.0 之前的 containers-image 版本。
    (CVE-2020-1702)

  - GPGME 库在 0.1.1 之前的 proglottis Go 封装程序存在释放后使用，这一点已由 Docker 或 CRI-O 用于容器映像拉取证实。这会导致 GPG 签名验证期间发生崩溃或潜在的代码执行。 (CVE-2020-8945)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

container-tools:rhel8 模块的更新现在可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。container-tools 模块包含搭配容器（尤其是 podman、buildah、skopeo 和 runc）一起使用的工具。安全修复：* HTTP/2：使用 PING 帧的洪流导致无限制内存增长 (CVE-2019-9512) * HTTP/2：使用 HEADERS 帧的洪流导致无限制内存增长 (CVE-2019-9514) * runc：通过指定了 /proc 中卷的恶意映像造成的 AppArmor/SELinux 绕过 (CVE-2019-16884) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。缺陷修复：* avc：podman 运行 --security-opt label=type:svirt_qemu_net_t (BZ#1764318) * json-file 日志支持向后移植到 1.4.2 (BZ#1770176) * Selinux 不允许 SCTP inter pod 通信 (BZ#1774382)

远程主机受到 GLSA-202003-21 中所述漏洞的影响（runC：多个漏洞）在 runC 中发现多个漏洞。请检查下面引用的 CVE 标识符以了解详细信息。影响：攻击者通过运行恶意的 Docker 图像，会避开容器、绕过安全限制、提升权限或造成拒绝服务情况。解决方法：目前无任何已知的解决方法。

来自 Red Hat 安全公告 2019:4269：

container-tools: rhel8 模块的更新现可用于 Red Hat Enterprise Linux 8。

Red Hat 产品安全团队将此更新评级为具有“重要”安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，该系统针对每个漏洞给出详细的严重性评级。

container-tools 模块包含搭配容器（尤其是 podman、buildah、skopeo 和 runc）一起使用的工具。

安全修复：

* HTTP/2：使用 PING 帧进行淹没会导致无限的内存增长 (CVE-2019-9512)

* HTTP/2：使用 HEADERS 帧的淹没，导致无限的内存增长 (CVE-2019-9514)

* runc：使用在 /proc 处指定卷的恶意图像进行 AppArmor/SELinux 绕过 (CVE-2019-16884)

有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

错误修复：

* avc：podman run --security-opt label=type: svirt_qemu_net_t (BZ#1764318)

* 将 json-file 记录支持向后移植至 1.4.2 (BZ#1770176)

* Selinux 不允许 SCTP Pod 间通信 (BZ#1774382)

远程 Ubuntu 16.04 ESM 主机上安装的多个程序包受到 USN-4867-1 公告中提及的多个漏洞影响。

  - 在 Docker 19.03.2-ce 及之前版本和其他产品所使用的 runc 1.0.0-rc8 及之前版本中，存在 AppArmor 限制绕过漏洞，这是因为 libcontainer/rootfs_linux.go 未正确检查挂载目标，因此恶意 Docker 图像可挂载到 /proc 目录上。(CVE-2019-16884)

  - 1.0.0-rc95 之前的 runc 允许攻击者通过目录遍历损坏容器文件系统。要利用此漏洞，攻击者必须要能够使用相当具体的挂载配置创建多个容器。通过依赖争用条件的符号链接交换攻击可以触发此问题。
    (CVE-2021-30465)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2019: 4269 公告中提及的多个漏洞的影响。

  - runc：使用在 /proc 处指定卷的恶意图像进行 AppArmor/SELinux 绕过 (CVE-2019-16884)

  - podman：主机文件系统中的符号链接解析导致复制操作获得意外结果 (CVE-2019-18466)

  - HTTP/2：使用 PING 帧进行淹没会导致无限的内存增长 (CVE-2019-9512)

  - HTTP/2：使用 HEADERS 帧的淹没，导致无限的内存增长 (CVE-2019-9514)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

运行 CORE 5.04 / MAIN 5.04 版本的远程 NewStart CGSL 主机上安装的 containerd.io 程序包受到多个漏洞的影响：

  - 在 Docker 19.03.2-ce 及之前版本和其他产品所使用的 runc 1.0.0-rc8 及之前版本中，存在 AppArmor 限制绕过漏洞，这是因为 libcontainer/rootfs_linux.go 未正确检查挂载目标，因此恶意 Docker 图像可挂载到 /proc 目录上。(CVE-2019-16884)

  - 1.0-rc6 版本及之前的 runc（在 18.09.2 版本之前的 Docker 和其他产品中使用）使得攻击者可以通过利用在这些类型的容器中作为根执行命令的能力，重写主机 runc 二进制文件（从而获得主机根访问权）：(1) 包含攻击者控制的图像的新容器，或 (2) 攻击者之前具有写入权并且可以附加 docker exec 的现有容器。这是因为文件描述符处理不当，与 /proc/self/exe 有关。
    (CVE-2019-5736)

  - 某些 HTTP/2 实现容易受到 ping 洪流攻击，可能导致拒绝服务。攻击者向 HTTP/2 对等体发送连续 ping，导致对等体构建内部响应队列。根据数据排队的效率，这种攻击可能过度消耗 CPU、内存或两者兼有。
    (CVE-2019-9512)

  - 某些 HTTP/2 实现容易受到重置洪流攻击，可能导致拒绝服务。
    攻击者打开多个流，并通过每个流发送一个无效请求，该请求应该从对等体请求 RST_STREAM 帧流。根据对等机 RST_STREAM 帧排队的方式，这种攻击可能会过度消耗内存、CPU 或两者兼有。(CVE-2019-9514)

  - 某些 HTTP/2 实现容易受到设置洪流攻击，可能导致拒绝服务。攻击者会向对等端发送 SETTINGS 帧流。由于 RFC 要求对等机对每一个设置帧都要回复确认，因此空设置帧在行为上几乎等同于 ping。根据数据排队的效率，这种攻击可能过度消耗 CPU、内存或两者兼有。(CVE-2019-9515)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
131217	RHEL 8 : OpenShift Container Platform 4.1.24 runc (RHSA-2019:3940)	Nessus	Red Hat Local Security Checks	2019/11/22	2024/11/7	high
184994	Rocky Linux 8 container-tools:rhel8 (RLSA-2019:4269)	Nessus	Rocky Linux Local Security Checks	2023/11/7	2023/11/7	high
131678	RHEL 8：OpenShift Container Platform 4.2 runc (RHSA-2019:4074)	Nessus	Red Hat Local Security Checks	2019/12/4	2024/11/7	high
234786	Amazon Linux AMIrunc (ALAS-2021-1556)	Nessus	Amazon Linux Local Security Checks	2025/4/24	2025/4/24	high
135084	RHEL 7：docker (RHSA-2020: 1234)	Nessus	Red Hat Local Security Checks	2020/4/1	2024/11/7	high
134367	Ubuntu 18.04 LTS：runC 漏洞 (USN-4297-1)	Nessus	Ubuntu Local Security Checks	2020/3/10	2025/9/3	high
173457	Debian DLA-3369-1：runc - LTS 安全更新	Nessus	Debian Local Security Checks	2023/3/28	2025/1/22	high
171691	Debian DLA-3322-1：golang-github-opencontainers-selinux - LTS 安全更新	Nessus	Debian Local Security Checks	2023/2/21	2025/1/22	high
208507	CentOS 7：docker (RHSA-2020:1234)	Nessus	CentOS Local Security Checks	2024/10/9	2024/10/9	high
132234	RHEL 8 : container-tools:rhel8 (RHSA-2019:4269)（Ping 洪流）（重置洪流）	Nessus	Red Hat Local Security Checks	2019/12/18	2025/3/15	high
134598	GLSA-202003-21 : runC：多个漏洞	Nessus	Gentoo Local Security Checks	2020/3/16	2024/3/22	high
132667	Oracle Linux 8：container-tools: ol8 (ELSA-2019-4269)（Ping 洪流）（重置洪流）	Nessus	Oracle Linux Local Security Checks	2020/1/6	2024/11/1	high
183697	Ubuntu 16.04 ESM：runC 漏洞 (USN-4867-1)	Nessus	Ubuntu Local Security Checks	2023/10/23	2024/8/27	high
145671	CentOS 8：container-tools: rhel8 (CESA-2019: 4269)	Nessus	CentOS Local Security Checks	2021/1/29	2024/1/25	high
147293	NewStart CGSL CORE 5.04 / MAIN 5.04：containerd.io 多个漏洞 (NS-SA-2021-0006)	Nessus	NewStart CGSL Local Security Checks	2021/3/10	2022/12/5	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high