Debian DLA-442-1：lxc 安全性更新

high Nessus Plugin ID 89042

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

簡介

CVE-2013-6441

範本指令碼 lxc-sshd 用來利用可寫入的 bind 掛載，將其本身做為 /sbin/init 掛載在容器中。

此更新已透過使用唯讀 bind 掛載，而不是防止任何形式的潛在意外損壞，解決上述問題。

CVE-2015-1335

在容器啟動時，lxc 會在容器組態檔案的引導下執行數個掛載，進而設定容器的初始檔案系統樹狀結構。

容器組態由主機上的系統管理員或使用者所擁有，因此我們不會嘗試防止錯誤的輸入。
但是，由於掛載目標位於容器內，因此容器系統管理員可使用符號連結轉移掛載。這可繞過正確的容器啟動 (即透過將必要寫入轉移至 /proc/self/attr/current，由受限 apparmor 原則限制 root 擁有的容器)，或透過將容器中的 /proc 轉移至 /mnt (假設)，繞過 (路徑型) apparmor 原則。

此更新實作 safe_mount() 函式，進而防止 lxc 對符號連結執行掛載。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。