containerdの脆弱性(Moderate: CVE-2023-25153, CVE-2023-25173)と新バージョン(1.5.18, 1.6.18)

02/18/2022にcontainerdの脆弱性(Moderate: CVE-2023-25153, CVE-2023-25173)と新バージョン(1.5.18, 1.6.18)が公開されていました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

[過去関連リンク(最新5件)]

• containerdの脆弱性(Moderate: CVE-2022-23471)と新バージョン(1.5.16, 1.6.12)
• containerdの脆弱性(Moderate: CVE-2022-23648)と新バージョン(1.4.13, 1.5.10, 1.6.1)
• containerdの脆弱性(High: CVE-2021-43816)と新バージョン(v1.5.9)
• containerdの脆弱性(Important: CVE-2020-15257)と新バージョン(v1.4.3)
• containerdの脆弱性(Moderate: CVE-2021-41103)と新バージョン(v1.4.11, v1.5.7)

CVSS/プライオリティ

• CVE-2023-25153
  • 影響するバージョン
    • containerd <= 1.5.17, 1.6.0-1.6.17
  • 一時情報源
    • OCI image importer memory exhaustion
  • Priority
    • Vendor: Moderate
  • CVSS Score / CVSS Vector
• CVE-2023-25173
  • 影響するバージョン
    • containerd <= 1.5.17, 1.6.0-1.6.17
  • 一時情報源
    • Supplementary groups are not set up properly
  • Priority
    • Vendor: Moderate
  • CVSS Score / CVSS Vector

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-25153
  • ホストメモリの枯渇
  • 該当のバージョンのcontainerdでは、OCIイメージをインポートする際に、特定のファイルを読むためのバイト数に制限が設けられていませんでした。悪意のある細工された大きなイメージファイルがDoSを引き起こす可能性があります。
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-25173
  • 補足グループが正しく設定されていない問題
  • コンテナ内で補足グループが正しくせってされていないという問題が見つかりました。攻撃者がコンテナに直接アクセスできて補足グループを変更できる場合には、補足グループを用いてプライマリグループに掛けられた制限をバイパスするケースがあり、重要な情報にアクセスしたりコンテナ内でコードを実行できる可能性があります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• Debian
  • https://security-tracker.debian.org/tracker/CVE-2023-25153
  • https://security-tracker.debian.org/tracker/CVE-2023-25173
• Red Hat Enterprise Linux/CentOS
• Ubuntu
  • https://ubuntu.com/security/CVE-2023-25153
  • https://ubuntu.com/security/CVE-2023-25173
• SUSE/openSUSE
  • https://www.suse.com/security/cve/CVE-2023-25153.html
  • https://www.suse.com/security/cve/CVE-2023-25173.html

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

[参考]

• OCI image importer memory exhaustion
• Supplementary groups are not set up properly