Amazon Linux 2：containerd (ALAS-2022-1775)

medium Nessus 插件 ID 160267

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 containerd 版本低于 1.4.13-2。因此，该应用程序受到 ALAS2-2022-1775 公告中提及的漏洞的影响。

- Moby 是 Docker 创建的开源项目，用于实现并加快软件容器化。在低于 20.10.14 版本的 Moby (Docker Engine) 中发现一个错误，其中容器以非空、可继承的 Linux 进程功能启动，从而创建非典型 Linux 环境，并使具有可继承文件功能的程序在 `execve(2)` 期间将这些功能提升至允许的集。通常，当可执行程序已指定允许的文件功能时，无特权用户和进程就可以执行这些程序并获得符合边界集规定的指定文件功能。由于存在这一错误，包含具有可继承文件功能的可执行程序的容器允许无特权用户和进程额外获得此类符合容器边界集规定的可继承文件功能。使用 Linux 用户和群组在容器内执行特权分离的容器受此错误的影响最大。此错误不影响容器安全沙盒，因为可继承集包含的功能绝不会多于容器边界集中包含的功能。此错误已在 Moby (Docker Engine) 中修复 20.10.14。您应当停止、删除并重新创建正在运行的容器，以便重置可继承功能。此补丁更改了 Moby（Docker Engine）行为，以便在启动容器时创建更典型的 Linux 环境。有一种解决办法是，修改容器的入口点，以使用“capsh(1)”等实用工具，在主进程启动之前终止可继承功能。(CVE-2022-24769)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。