RHCOS 4：OpenShift Container Platform 4.14.9 (RHSA-2024: 0207)

high Nessus Plugin ID 189436

語系：

概要

遠端 Red Hat CoreOS 主機缺少一個或多個適用於 OpenShift Container Platform 4.14.9 的安全性更新。

說明

遠端 Red Hat Enterprise Linux CoreOS 4 主機上安裝的套件受到 RHSA-2024: 0207 公告中提及的多個弱點影響。

- OpenTelemetry-Go Contrib 是 OpenTelemetry-Go 的第三方套件集合。在 0.46.0 版之前，現成的 grpc Unary Server Interceptor 會新增具有未系結基數的標籤「net.peer.sock.addr」和「net.peer.sock.port」。當傳送許多惡意要求時，這可能會導致伺服器記憶體耗盡。攻擊者可輕易造成要求的對等端位址和連接埠溢流。 0.46.0 版包含針對此問題的修正。作為停止影響的因應措施，使用者可以使用檢視移除屬性。另一種可行的措施是，使用「noop.NewMeterProvider」傳送「otelgrpc.WithMeterProvider」選項，以停用 grpc 指標檢測。(CVE-2023-47108)

- 在 CRI-O 中發現一個瑕疵，其涉及導致容器不受限制的實驗性註釋。這可能允許 pod 指定並取得任何數量的記憶體/cpu，進而規避 kubernetes 排程器，且可能在節點中導致拒絕服務。(CVE-2023-6476)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。