This update for singularity fixes the following issues :

New version 3.6.3, addresses the following security issues :

  - CVE-2020-25039, boo#1176705

    When a Singularity action command (run, shell, exec) is     run with the fakeroot or user namespace option,     Singularity will extract a container image to a     temporary sandbox directory. Due to insecure permissions     on the temporary directory it is possible for any user     with access to the system to read the contents of the     image. Additionally, if the image contains a     world-writable file or directory, it is possible for a     user to inject arbitrary content into the running     container. 

  - CVE-2020-25040, boo#1176707

    When a Singularity command that results in a container     build operation is executed, it is possible for a user     with access to the system to read the contents of the     image during the build. Additionally, if the image     contains a world-writable file or directory, it is     possible for a user to inject arbitrary content into the     running build, which in certain circumstances may enable     arbitrary code execution during the build and/or when     the built container is run.

New version 3.6.2, new features / functionalities :

-Add --force option to singularity delete for non-interactive workflows.

-Support compilation with FORTIFY_SOURCE=2 and build in pie mode with fstack-protector enabled

  - Changed defaults / behaviours

    -Default to current architecture for singularity delete.

  - Bug Fixes

    -Respect current remote for singularity delete command.

    -Allow rw as a (noop) bind option.

    -Fix capability handling regression in overlay mount.

    -Fix LD_LIBRARY_PATH environment override regression     with --nv/--rocm.

    -Fix environment variable duplication within singularity     engine.

    -Use -user-xattrs for unsquashfs to avoid error with     rootless extraction using unsquashfs 3.4

    -Correct --no-home message for 3.6 CWD behavior.

    -Don't fail if parent of cache dir not accessible.

    -Fix tests for Go 1.15 Ctty handling.

    -Fix additional issues with test images on ARM64.

    -Fix FUSE e2e tests to use container ssh_config.

    -Provide advisory message r.e. need for upper and work     to exist in overlay images.

    -Use squashfs mem and processor limits in squashfs gzip     check.

    -Ensure build destination path is not an empty string -     do not overwrite CWD.

    -Don't unset PATH when interpreting legacy /environment     files.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Sylabs Singularity 3.2.0 から 3.6.2 には、fakeroot またはユーザー名前空間コンテナの実行で使用される一時ディレクトリで、安全でない権限があります。CVE-2020-25039

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

singularityのこの更新プログラムでは、以下の問題が修正されています：

新バージョン3.6.3では、次のセキュリティの問題に対応しています：

  - CVE-2020-25039、boo#1176705

    Singularityアクションコマンド（run、shell、exec）をfakerootまたはユーザー名前空間のオプションで実行すると、Singularityによりコンテナイメージが一時サンドボックスディレクトリに抽出されます。一時ディレクトリのアクセス許可が安全でないため、システムへのアクセス権があるすべてのユーザーが画像のコンテンツを読み取ることができます。さらに、画像に誰でも書き込めるファイルまたはディレクトリが含まれている場合、ユーザーが任意のコンテンツを実行中のコンテナに注入できます。 

  - CVE-2020-25040、boo#1176707

    コンテナのビルド操作につながるSingularityコマンドが実行されると、システムにアクセスできるユーザーがビルド中にイメージのコンテンツを読み取ることができます。また、誰でも書き込めるファイルまたはディレクトリが画像に含まれている場合、ユーザーが任意のコンテンツを実行中のビルドに注入できます。これにより、特定の状況では、ビルド中またはビルドされたコンテナの実行時に任意のコードが実行される可能性があります。 

新バージョン3.6.2、新機能：

- 非対話型ワークフローのsingularity deleteに--forceオプションを追加します。

- FORTIFY_SOURCE=2を使用したコンパイルをサポートし、fstack-protectorを有効にしてpieモードで構築します

  - デフォルト/動作を変更しました

    - singularity deleteについて、現在のアーキテクチャにデフォルト設定されます。

  - バグ修正

    - singularity deleteコマンドについて、現在のリモートを考慮します。

    - rwを（noop）bindオプションとして許可します。

    - オーバーレイマウントの回帰を処理する機能を修正します。

    - LD_LIBRARY_PATH環境オーバーライドの回帰を--nv/--rocmで修正します。

    - singularity engine内の環境変数の重複を修正します。

    - unsquashfs 3.4を使用したrootless抽出によるエラーを回避するために、unsquashfsに対して-user-xattrsを使用します 

    - 3.6 CWD動作の--no-homeメッセージを修正します。

    - キャッシュdirの親がアクセスできない場合でも失敗しません。

    - Go 1.15 Ctty処理のテストを修正します。

    - ARM64のテスト画像に関する追加の問題を修正します。

    - FUSE e2eテストを修正し、コンテナssh_configを使用します。

    - オーバーレイ画像にupperとworkが存在するために必要なアドバイザリメッセージr.e.を提供します。

    - squashfs gzipチェックでsquashfsのメモリとプロセッサの制限を使用します。

    - ビルド宛先パスが空の文字列ではないことを保証します。CWDを上書きしません。

    - レガシー/環境ファイルを解釈する際にPATHの設定を解除しません。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Sylabs Singularity 3.2.0 至 3.6.2 在 fakeroot 或使用者命名空間容器執行所使用的暫存目錄上具有不安全的權限。 (CVE-2020-25039)

請注意，Nessus 依賴供應商報告的套件存在。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Sylabs Singularity 3.2.0 through 3.6.2 has Insecure Permissions on temporary directories used in fakeroot     or user namespace container execution. (CVE-2020-25039)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Sylabs Singularity 3.2.0 到 3.6.2 在 fakeroot 或用户命名空间容器执行中使用的临时目录上具有不安全的权限。 (CVE-2020-25039)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
140727	openSUSE Security Update : singularity (openSUSE-2020-1497)	Nessus	SuSE Local Security Checks	2020/9/22	2024/2/20	high
244549	Linux Distros のパッチ未適用の脆弱性: CVE-2020-25039	Nessus	Misc.	2025/8/7	2025/8/7	high
140727	openSUSEセキュリティ更新プログラム：singularity（openSUSE-2020-1497）	Nessus	SuSE Local Security Checks	2020/9/22	2024/2/20	high
244549	Linux Distros 未修補的弱點：CVE-2020-25039	Nessus	Misc.	2025/8/7	2025/8/7	high
244549	Linux Distros Unpatched Vulnerability : CVE-2020-25039	Nessus	Misc.	2025/8/7	2025/8/7	high
244549	Linux Distros 未修补的漏洞：CVE-2020-25039	Nessus	Misc.	2025/8/7	2025/8/7	high

偵測

搜尋 Plugin

high

high

high

high

high

high