containerdの脆弱性(Moderate: CVE-2022-23471)と新バージョン(1.5.16, 1.6.12)

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

12/11/2022にcontainerdの脆弱性(Moderate: CVE-2022-23471)と新バージョン(1.5.16, 1.6.12)が公開されていました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

[過去関連リンク(最新5件)]

• containerdの脆弱性(Moderate: CVE-2022-23648)と新バージョン(1.4.13, 1.5.10, 1.6.1)
• containerdの脆弱性(High: CVE-2021-43816)と新バージョン(v1.5.9)
• containerdの脆弱性(Important: CVE-2020-15257)と新バージョン(v1.4.3)
• containerdの脆弱性(Moderate: CVE-2021-41103)と新バージョン(v1.4.11, v1.5.7)

CVSS/プライオリティ

• CVE-2022-4127
  • 影響するバージョン
    • containerd < 1.5.16, 1.6.0-1.6.11
  • 一時情報源
    • https://github.com/containerd/containerd/security/advisories/GHSA-2qjp-425j-52j9
  • Priority
    • Vendor: Moderate
  • CVSS Score / CVSS Vector
    • N/A

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-23471
  • ホストメモリの枯渇
  • containerdのCRI実装でユーザがホストのメモリを枯渇させる可能性があるバグが見つかりました。CRIストリームサーバでは、TTYが要求された際にターミナルのリサイズイベント用にgoroutineが起動します。ユーザのプロセスでコマンド実行失敗などが発生した際に、goroutineがスタックしてメモリリークの引き金になります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• Debian
  • https://security-tracker.debian.org/tracker/CVE-2022-23471
• Red Hat Enterprise Linux/CentOS
• Ubuntu
  • https://ubuntu.com/security/CVE-2022-23471
• SUSE/openSUSE
  • https://www.suse.com/security/cve/CVE-2022-23471.html

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

[参考]

• https://github.com/containerd/containerd/security/advisories/GHSA-2qjp-425j-52j9