こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。
10/15/2020に”ContainerDrip”と呼ばれる、1.2.13以前のcontainerdを用いている場合に資格情報(Credential)が漏洩する可能性がある脆弱性が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューション／各社の対応について簡単に纏めてみます。
関連するCVEは CVE-2020-15157 になります。
[過去の関連リンク(最新5件)]
[過去の記事(最新5件)]
Bluetoothの鍵を上書きされる脆弱性(BLURtooth: CVE-2020-15802)
複数のgrub2 と関連するLinux Kernel の脆弱性 (BootHole (CVE-2020-1968, etc.))
INTELのセキュリティアドバイザリ(INTEL-SA-00320: Special Register Buffer Data Sampling Advisory (CVE-2020-0543))
一次情報源(各ベンダの対応状況も載っています)
CVE-2020-15157 “ContainerDrip” Write-up
CVE-2020-15157: containerd v1.2.x can be coerced into leaking credentials during image pull
関連ニュース
Priority
| CVE番号 | Priority | CVSS Score / CVSS Vector |
|---|---|---|
| CVE-2020-15157 | NVD: 6.1 Medium | NVD: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:N/A:N |
問題の詳細
詳しくは一次情報源の情報を確認して下さい。
CVE概要(詳細はCVEのサイトをご確認ください)
- 資格情報の漏洩
- OCI ImageフォーマットやDocker Image V2 Schema 2 フォーマットのコンテナイメージManifestファイルで特定のイメージレイヤー(“Foreign Layer”と別名で呼ばれているもの)のロケーションURLを含んでいる場合、デフォルトのcontainerd リゾルバはURLに従ってダウンロードを試みます。(1.3.0以上ではない) v1.2.xのデフォルトcontainerd リゾルバはURLに記載されているサーバがHTTP 401 (有効な認証資格が不足している) ステータスコードをヘッダで返した場合、認証情報の資格情報(クレデンシャル)を提供します。
攻撃者が制御可能なWebサーバにフェッチするように指示するManifestファイルとパブリックイメージを公開した場合、ユーザやシステムを騙してイメージをPullさせることにより、ユーザの資格情報を取得できます。場合によっては、これはユーザ名とパスワードだったり、そのアカウントが他のクラウドリソースへのアクセスを許可できるような資格情報である可能性があります。
Workaround(迂回方法)
- containerdが1.3以上の場合には、この問題は発生しません。
- 1.2.13以下のcontainerdの場合には、Pullイメージを信頼できるソースから取得するように気をつける必要があります。
主なディストリビューションの対応方法
詳細は、各ディストリビューションの提供元にご確認ください
- Debian
- Red Hat Enterprise Linux/CentOS
- Ubuntu
https://people.canonical.com/~ubuntu-security/cve/2020/CVE-2020-15157.html
- SUSE/openSUSE
対処方法
各ディストリビューション／ベンダーの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。
[参考]
CVE-2020-15157 “ContainerDrip” Write-up
CVE-2020-15157: containerd v1.2.x can be coerced into leaking credentials during image pull
セキュリティ系連載案内
- OSSセキュリティ技術の会による日経Linuxでの連載「IoT時代の最新SELinux入門」がITPro上で読めるようになりました。技術の会代表で第一人者である中村さん等による、最新のSELinuxの情報やコマンド類等も更新されているのでお薦めです。
- OSSセキュリティ技術の会によるThinkITでの連載「開発者のためのセキュリティ実践講座」がThinkIT上で開始しました。技術の会の中の人間で、最新の代表的なOSSセキュリティ技術を紹介していきます。
- OSSセキュリティ技術の会により、ThinkITでLinuxSecuritySummit 2018のレポートが紹介されています。
- OSSセキュリティ技術の会の面により、@ITで「OSS脆弱性ウォッチ」が連載されています。
- OSSセキュリティ技術の会の面により、@ITで「OpenSCAPで脆弱性対策はどう変わる？」が連載されています。
- OSSセキュリティ技術の会のメンバーにより、@ITで「Berkeley Packet Filter（BPF）入門」が連載されています。
セミナー情報1
コンピュータセキュリティシンポジウム(CSS)2020併設のワークショップ、 OSSセキュリティ技術ワークショップ(OWS) 2020の企画講演セッション及び、 一般論文セッションの発表募集をさせていただきます。
今年度はオンラインでの開催となります。奮ってのご投稿、お待ちしております。
