Amazon Linux 2：docker (ALASNITRO-ENCLAVES-2023-022)

medium Nessus Plugin ID 173942

語系：

概要

遠端 Amazon Linux 2 主機缺少安全性更新。

說明

遠端主機上安裝的 docker 版本為要比 20.10.22-1 舊。因此，會受到 ALAS2NITRO-ENCLAVES-2023-022 公告中所提及的多個弱點影響。

- Moby 是 Docker 建立的開放原始碼專案，可用於啟用軟體容器化。在 Moby (Docker Engine) 中發現一個錯誤，其中的附加群組設定不正確。如果攻擊者擁有容器的直接存取權並操控其附加群組存取權，則在某些情況下，他們可能能夠使用附加群組存取權繞過主要群組限制，進而可能獲得敏感資訊的存取權，或能夠在此容器中執行程式碼。此錯誤已在 Moby (Docker Engine) 20.10.18 中修正。應關閉並重新啟動執行中的容器，以便修正權限。使用者若無法升級，可藉由避免使用「USER $USERNAME」Dockerfile 指令來解決此問題。相反，可以呼叫「ENTRYPOINT [su, -, user]」來正確設定附加群組。(CVE-2022-36109)

- Docker 20.10.15 (版本 fd82621) 容易受到不安全權限弱點的影響。Docker 容器外未經授權的使用者可存取 Docker 容器內的任何檔案。(CVE-2022-37708)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。