Linux Distros 未修補的弱點：CVE-2023-28840
high Nessus Plugin ID 225932
語言:
概要
Linux/Unix 主機上安裝的一個或多個套件存有弱點，供應商表示將不會修補。說明
Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。- Moby 是 Docker Inc. 所開發的開放原始碼容器架構會以 Docker、Mirantis Container Runtime 及其他多種下游專案/產品的形式發布。Moby 程序元件 (`dockerd`) 以 moby/moby 形式開發通常稱為 *Docker*。Swarm 模式預設編譯於 dockerd 中並在其中提供因此存在於大多數主要的 Moby 下游這是一種簡單的內建容器協調器可透過 SwarmKit 和支援網路程式碼的組合實作。重疊網路驅動程式是 Swarm 模式的核心功能，可提供隔離的虛擬 LAN，以便在整個叢集中的容器和服務之間進行通訊。此驅動程式為 VXLAN 的實作/使用者其可將連結層 (乙太網路) 框架封裝在 UDP 資料包中並以可識別來源重疊網路的 VXLAN 網路 ID (VNI) 標記該框架。此外重疊網路驅動程式支援選用的關閉預設加密模式這在 VXLAN 封包在節點之間遊走未受信任的網路時特別有用。加密的重疊網路會在傳輸模式下使用 IPsec 封裝安全性承載通訊協定封裝 VXLAN 資料包。透過部署 IPSec 封裝加密的重疊網路可透過密碼編譯證明獲得來源驗證、透過總和檢查獲得資料完整性以及透過加密獲得機密性等額外屬性。在加密的重疊網路上設定端點時Moby 會安裝三個 iptables (Linux 核心防火牆) 規則來同時強制傳入和傳出 IPSec。這些規則依賴 xt_u32 核心模組提供的 u32 iptables 延伸模組直接篩選 VXLAN 封包的 VNI 欄位以便在加密的重疊網路上強制執行 IPSec 保證而不會干擾其他重疊網路或 VXLAN 的其他使用者。有兩個 iptables 規則可用來篩選內含 VNI 的傳入 VXLAN 資料包該資料包對應於已加密的網路並捨棄未加密的資料包。這些規則會附加到 INPUT 篩選器鏈的結尾處遵循系統管理員之前設定的任何規則。系統管理員設定的規則優先於 Moby 設定的規則以捨棄未加密的 VXLAN 資料包進而可能接受應該已捨棄的未加密資料包。插入任意乙太網路框架可導致拒絕服務攻擊。有經驗的攻擊者可能透過容器的傳出閘道建立 UDP 或 TCP 連線其原本會被狀態防火牆封鎖或透過將封包走私到重疊網路執行簡單插入以外的其他升級。修補程式已在 Moby 版 23.0.3 和 20.10.24中提供。由於 Mirantis Container Runtime 的 20.10 版本編號不同因此該平台的使用者應更新至 20.10.16。您可以使用一些因應措施。在網際網路邊界對傳入流量關閉 VXLAN 連接埠 (預設為 UDP 連接埠 4789)以防止所有 VXLAN 封包插入和/或確保「xt_u32」核心模組可在 Swarm 叢集的所有節點上使用。 (CVE-2023-28840)
請注意，Nessus 依賴供應商報告的套件存在。
解決方案
目前尚未有已知的解決方案。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 225932
檔案名稱: unpatched_CVE_2023_28840.nasl
版本: 1.2
類型: local
代理程式: unix
系列: Misc.
已發布: 2025/3/5
已更新: 2025/8/18
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
風險資訊
VPR
風險因素: High
分數: 7.1
CVSS v2
風險因素: Medium
基本分數: 5.8
時間性分數: 4.5
媒介: CVSS2#AV:A/AC:L/Au:N/C:P/I:P/A:P
CVSS 評分資料來源: CVE-2023-28840
CVSS v3
風險因素: High
基本分數: 8.7
時間性分數: 7.8
媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:debian:debian_linux:docker.io, cpe:/o:debian:debian_linux:11.0, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:docker.io, p-cpe:/a:canonical:ubuntu_linux:docker.io-app, cpe:/o:canonical:ubuntu_linux:20.04:-:lts
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier
可被惡意程式利用: true
可輕鬆利用: Exploits are available
弱點發布日期: 2023/4/4
參考資訊
CVE: CVE-2023-28840