Amazon Linux 2：containerd (ALASECS-2023-014)

medium Nessus Plugin ID 183449

語系：

概要

遠端 Amazon Linux 2 主機缺少安全性更新。

說明

遠端主機上安裝的 containerd 版本為早於 1.4.4-1 的版本。因此，它受到 ALAS2ECS-2023-014 公告中提及的一個弱點影響。

- 在 containerd (業界標準容器執行階段) 1.3.10 與 1.4.4 版本中，透過 containerd 的 CRI 實作 (透過 Kubernetes、crictl 或使用 containerd CRI 服務的任何其他 pod/容器用戶端) 啟動且共用相同影像的容器可能會收到不正確的環境變數，包括針對其他容器定義的值。如果受影響的容器具有不同的安全性內容，這可允許敏感資訊意外共用。如果您不使用 containerd 的 CRI 實作 (透過上述機制之一)，則不會受到此問題影響。如果您不從相同的影像啟動具有不同環境變數的多個容器或 Kubernetes pod，您就不會受到此問題影響。如果您不連續快速地從相同影像啟動多個容器或 Kubernetes pod，就可能會降低受到此問題影響的可能性。此弱點已在 containerd 1.3.10 和containerd 1.4.4 中修正。使用者應更新至這些版本。(CVE-2021-21334)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。