简介

CVE-2013-6441

模板脚本 lxc-sshd 用来利用可写入的 bind 挂载，将其本身作为 /sbin/init 挂载在容器中。

此更新已通过使用只读 bind 挂载，而不是防止任何形式的潜在意外损坏，解决上述问题。

CVE-2015-1335

在容器启动时，lxc 会在容器配置文件的引导下执行数个挂载，进而设置容器的初始文件系统树。

容器配置由主机上的系统管理员或用户所拥有，因此我们不会尝试防止错误的输入。
但是，由于挂载目标位于容器内，因此容器管理员可使用符号链接转移挂载。这可绕过正确的容器启动（即通过将必要写入转移至 /proc/self/attr/current，由受限的 apparmor 策略限制 root 拥有的容器），或通过将容器中的 /proc 转移至 /mnt 等，绕过（基于路径）apparmor 策略。

此更新可实现 safe_mount() 函数，阻止 lxc 对符号链接执行挂载。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

检测

Debian DLA-442-1：lxc 安全更新

high Nessus 插件 ID 89042

未找到变更日志