遠端 Oracle Linux 7 主機中安裝的套件受到 ELSA-2020-5765 公告中提及的多個弱點影響。

  -在 nghttp2 1.41.0之前的版本中，過大的 HTTP / 2 SETTINGS 框架承載會造成拒絕服務。
    概念證明攻擊涉及惡意用戶端一遍又一遍地建構長度為 14,400 位元組 (2400 個個別設定項目) 的 SETTINGS 框架。攻擊會造成 CPU 尖峰達到 100％。nghttp2 v1.41.0 已修正此弱點。目前有針對此弱點的因應措施。實作 nghttp2_on_frame_recv_callback 回呼，如果收到的框架是 SETTINGS 框架，且設定項目數量巨大（例如> 32），則中斷連線。(CVE-2020-11080)

  - 連結解析錯誤弱點會影響 1.11.0 之前的 Kata Containers。容器終止時，惡意來賓可誘騙 kata-runtime 卸載主機上的任何掛載點及其底下的所有掛載點，這可能導致主機 DoS。(CVE-2020-2024)

  - Cloud Hypervisor 上 1.11.0 之前的 Kata Containers 會保留主機上基礎映像檔案的來賓檔案系統變更。惡意來賓可覆寫映像檔案，以取得所有後續來賓 VM 的控制權。由於 Kata Containers 對所有 VMM 使用相同的 VM 映像檔案，此問題也可能會影響基於 QEMU 和 Firecracker 的來賓。(CVE-2020-2025)

  - 在容器建立之前遭到入侵的惡意來賓 (例如，惡意來賓映像或執行多個容器的來賓) 可誘騙 kata 執行階段在任何主機路徑上掛載未受信任的容器檔案系統，進而可能允許在主機上執行程式碼。此問題會影響：Kata Containers 1.11 的 1.11.1 之前版本；Kata Containers 1.10 的 1.10.5 之前版本；Kata Containers 1.9 和更舊版本。(CVE-2020-2026)

  - 1.1-1.16.12、1.17.0-1.17.8 和 1.18.0-1.18.5 版中的 Kubernetes kubelet 元件未考量 pod 的磁碟使用量，它會寫入自身的 /etc/hosts 檔案。計算 pod 的暫時儲存使用量時，kubelet 回收管理員未納入 kubelet 在 pod 中掛載的 /etc/hosts 檔案。
    如果 pod 將大量資料寫入 /etc/hosts 檔案，則可填滿節點的儲存空間並造成節點失敗。(CVE-2020-8557)

  - 在 1.15.1 之前所有版本的 Kiali 中，發現預設設定檔存在硬編碼密碼編譯金鑰弱點。遠端攻擊者可利用此弱點來建立自己的 JWT 簽章權杖，並繞過 Kiali 驗證機制，進而可能取得檢視及變更 Istio 設定的權限。(CVE-2020-1764)

  - Kubernetes kube-apiserver v1.6-v1.15，v1.16.13 之前版本、v1.17.9 和 v1.18.6 版本容易發生對於代理升級要求進行未經驗證的重新導向，攻擊者可藉此提升權限，從入侵節點深入到入侵整個叢集。(CVE-2020-8559)

  - 啟用 telemetry v2 時，Istio 1.4.x 的 1.4.9 之前版本和 1.5.x 的 1.5.4 之前版本包含下列弱點：攻擊者可藉由傳送特製的封包來觸發 Null 指標異常狀況，進而導致拒絕服務。封包可能會被傳送至 ingress 閘道或 Sidecar，進而觸發 Null 指標異常狀況，導致拒絕服務。此弱點也會影響 servicemesh-proxy，在 servicemesh-proxy 中也發現 Null 指標異常狀況。當執行 Telemetry v2 (在 1.4.x 版中預設為停用) 時，攻擊者可傳送特製封包至 ingress 閘道或 Proxy Sidecar，進而觸發拒絕服務。(CVE-2020-10739)

  - 在 Envoy 1.12.6 之前版本、1.13.4、1.14.4 和 1.15.0 版中，驗證 TLS 憑證時，Envoy 會錯誤地允許將萬用字元 DNS 主體別名套用至多個子網域。例如，如果 SAN 是 *.example.com，Envoy 會錯誤地允許 nested.subdomain.example.com，而實際上應該只允許 subdomain.example.com。此缺陷適用於驗證 mTLS 中的用戶端 TLS 憑證，以及驗證上游連線的伺服器 TLS 憑證。此弱點僅適用於未受信任的實體可以針對您只打算信任其中一個子網域的網域取得已簽章萬用字元 TLS 憑證的情況。例如，如果您打算信任 api.mysubdomain.example.com，而未受信任的執行者可取得 *.example.com 或 *.com 的已簽章 TLS 憑證。如果設定使用任何 Envoy 版本中的 verify_subject_alt_name，或者使用 1.14 或更新版本中的 match_subject_alt_names，則容易受到影響。 1.12.6、1.13.4、1.14.4、1.15.0 版已修正此問題。(CVE-2020-15104)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Oracle Linux 7：Unbreakable Enterprise kernel-container kata-image kata-runtime kata kubernetes kubernetes istio olcne (ELSA-2020-5765)

high Nessus Plugin ID 180974

版本 1.1