Amazon Linux AMI:docker (ALAS-2021-1537)

high Nessus 插件 ID 153861
全新!插件严重性现在使用 CVSS v3

计算的插件严重性默认已更新为使用 CVSS v3。没有 CVSS v3 分数的插件将回退到 CVSS v2 来计算严重性。可以在设置下拉列表中切换严重性显示首选项。

简介

远程 Amazon Linux AMI 主机缺少安全更新。

描述

远程主机上安装的 docker 版本低于 20.10.7-3.71。因此,如公告 ALAS-2021-1537 所述,该主机受到多个漏洞的影响。

- Moby 是 Docker 创建的开源项目,用于实现软件容器化。在 Moby (Docker Engine) 中发现一个错误,在尝试使用“docker cp”将文件复制到特别构建的容器时,可导致主机文件系统中现有文件的 Unix 文件权限变更,从而扩大对其他文件的访问权限。此错误不会直接允许在没有其他合作进程的情况下读取、修改或执行文件。此错误已在 Moby (Docker Engine) 中修复 20.10.9。用户应尽快更新至此版本。不需要重新启动正在运行的容器。(CVE-2021-41089)

- Moby 是 Docker 创建的开源项目,用于实现软件容器化。在 Moby (Docker Engine) 中发现一个错误,其中数据目录(通常为“/var/lib/docker”)包含限制权限不足的子目录,非特权 Linux 用户可利用此漏洞,遍历目录内容并执行程序。当容器包含的可执行程序具有扩展权限位(如“setuid”)时,非特权 Linux 用户可发现并执行这些程序。当主机上的非特权 Linux 用户与容器内文件所有者或群组的 UID 冲突时,主机上的非特权 Linux 用户可发现、读取和修改这些文件。此错误已在 Moby (Docker Engine) 中修复 20.10.9。用户应尽快更新至此版本。应停止正在运行的容器,然后重新启动以修复权限。对于无法升级的用户,应限制受信任的用户访问主机的权限。限制受信任的容器访问主机卷的权限。
(CVE-2021-41091)

- Docker CLI 是用于 docker 容器运行时的命令行接口。在 Docker CLI 中发现一个错误,运行“docker login my-private-registry.example.com”所使用的配置文件(通常为“~/.docker/config.json”)未正确配置,列出无法执行的“credsStore”或“credHelpers”,可导致提供的所有凭据发送至“registry-1.docker.io”,而非预期的私有注册表。此错误已在 Docker CLI 中修复 20.10.9。用户应尽快更新至此版本。对于无法更新的用户,请确保配置文件中配置的所有 credsStore 或 credHelpers 条目均引用 PATH 上已安装的可执行凭据帮助程序。
(CVE-2021-41092)

请注意,Nessus 尚未测试此问题,而是只依靠应用程序自我报告的版本号来判断。

解决方案

运行 'yum update docker' 以更新系统。

另见

https://alas.aws.amazon.com/ALAS-2021-1537.html

https://access.redhat.com/security/cve/CVE-2021-41089

https://access.redhat.com/security/cve/CVE-2021-41091

https://access.redhat.com/security/cve/CVE-2021-41092

插件详情

严重性: High

ID: 153861

文件名: ala_ALAS-2021-1537.nasl

版本: 1.3

类型: local

代理: unix

发布时间: 2021/10/4

最近更新时间: 2021/10/8

依存关系: ssh_get_info.nasl

风险信息

CVSS 分数来源: CVE-2021-41092

VPR

风险因素: Medium

分数: 4.9

CVSS v2

风险因素: Medium

基本分数: 5

时间分数: 3.7

矢量: AV:N/AC:L/Au:N/C:P/I:N/A:N

时间矢量: E:U/RL:OF/RC:C

CVSS v3

风险因素: High

基本分数: 7.5

时间分数: 6.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

时间矢量: E:U/RL:O/RC:C

漏洞信息

CPE: p-cpe:/a:amazon:linux:docker, p-cpe:/a:amazon:linux:docker-debuginfo, cpe:/o:amazon:linux

必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

易利用性: No known exploits are available

补丁发布日期: 2021/9/30

漏洞发布日期: 2021/9/30

参考资料信息

CVE: CVE-2021-41089, CVE-2021-41091, CVE-2021-41092

ALAS: 2021-1537