The remote openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2024:3656-1 advisory.

    Update to version 3.5.12:

    Security fixes:

    - CVE-2018-16873: Fixed remote command execution in cmd/go (bsc#1118897)
    - CVE-2018-16874: Fixed directory traversal in cmd/go (bsc#1118898)
    - CVE-2018-16875: Fixed CPU denial of service in crypto/x509 (bsc#1118899)
    - CVE-2018-16886: Fixed improper authentication issue when RBAC and client-cert-auth is enabled     (bsc#1121850)
    - CVE-2020-15106: Fixed panic in decodeRecord method (bsc#1174951)
    - CVE-2020-15112: Fixed improper checks in entry index (bsc#1174951)
    - CVE-2021-28235: Fixed information discosure via debug function (bsc#1210138)
    - CVE-2022-41723: Fixed quadratic complexity in HPACK decoding in net/http (bsc#1208270, bsc#1208297)
    - CVE-2023-29406: Fixed insufficient sanitization of Host header in go net/http (bsc#1213229)
    - CVE-2023-47108: Fixed DoS vulnerability in otelgrpc (bsc#1217070)
    - CVE-2023-48795: Fixed prefix truncation breaking ssh channel integrity (aka Terrapin Attack) in     crypto/ssh (bsc#1217950, bsc#1218150)

    Other changes:

    - Added hardening to systemd service(s) (bsc#1181400)
    - Fixed static /tmp file issue (bsc#1199031)
    - Fixed systemd service not starting (bsc#1183703)

    Full changelog:

    https://github.com/etcd-io/etcd/compare/v3.3.1...v3.5.12

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

このcontainerd、docker、docker-runc、golang-github-docker-libnetworkの更新では、次の問題を修正します：

containerd、docker、docker-runc、golang-github-docker-libnetworkのセキュリティ問題が修正されました：

CVE-2018-16873：cmd/go：「go get -u」でのリモートコマンド実行（bsc#1118897）。

CVE-2018-16874：cmd/go：インポートパスの中括弧を介した「go get」のディレクトリトラバーサル（bsc#1118898）

CVE-2018-16875：crypto/x509：CPUのサービス拒否（bsc#1118899）

dockerのセキュリティ以外の修正された問題：kubicタイプのリープベースのビルドを無効にします（bsc#1121412）

ユーザーがコンテナのNISドメイン名を明示的に指定できるようにします。（bsc#1001161）

docker.serviceをアップストリームに合わせて更新し、rlimitの問題を回避します（bsc#1112980）

23GBより大きいdockerイメージを許可します（bsc#1118990）

Dockerバージョンのバージョン18.09.0-ceへの更新（bsc#1115464）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートホストは、GLSA-201812-09（Go：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がGoで発見されています。詳細については、以下に記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、特別に細工したGoパッケージを'go get -u’コマンドで渡すことで、任意のコードを実行させる可能性があります。リモート攻撃者がcrypto/x509パッケージを介して、CPUベースのサービス拒否状態を引き起こす異常な入力を作成することもできます。回避策：現時点では、既知の回避策はありません。

このcontainerd、dockerおよびgoの更新では、次の問題が修正されます：

containerdおよびdocker：

  - containerdを構築するためのバックポートを追加します（bsc#1102522、 bsc#1113313）

  - Docker v18.06.1-ceに必要なcontainerd v1.1.2にアップグレードします。（bsc#1102522）

  - seccompのサポートを有効にします（fate#325877）

  - containerd v1.1.1に更新してください。これは、Docker v18.06.0-ceのアップグレードに必要なバージョンです。
    （bsc#1102522）

  - podruntimeスライス下にcontainerdを置きます（bsc#1086185） 

  - サードパーティのレジストリがデフォルトのDocker証明書を使用しました（bsc#1084533）

  -（boo#1119634の解決により発生した）「export GOPATH」の欠如によるビルド破損を処理します。Dockerは、この問題を扱う唯一のパッケージの1つであると思われます。

go：

  - golang：VCSパスを介した任意のコマンドの実行（bsc#1081495、CVE-2018-7187）

  - バージョン間の切り替え中断されないようにするために、profile.d/go.shがGOROOT=を設定しないようにします。これにより、（GOPATHも自動的に設定されるため）go.shの必要性は完全に排除されます（boo#1119634）

  -「...」を含むインポートパスパターンでgo getを中断する回帰を修正します（bsc#1119706）

さらに、パッケージgo1.10が追加されました。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

このcontainerd、docker、docker-runc、go、go1.11、go1.12、golang-github-docker-libnetworkの更新では、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2019-5736：containerd：コンテナブレイクアウトの脆弱性を修正します（bsc#1121967）。

CVE-2019-6486：goセキュリティリリース。P-521およびP-384に影響するcrypto/elliptic CPUのDoSの脆弱性を修正します（bsc#1123013）。

CVE-2018-16873：goセキュリティリリース。cmd/goリモートコマンドの実行を修正します（bsc#1118897）。

CVE-2018-16874：goセキュリティリリース。cmd/goディレクトリトラバーサルを修正します（bsc#1118898）。

CVE-2018-16875：goセキュリティリリース。crypto/x509 CPUのサービス拒否を修正します（bsc#1118899）。

その他の変更とバグ修正：v18.09.5-ceに必要なcontainerd v1.2.5に更新します（bsc#1128376、bsc#1134068）。

docker v18.09.5-ceに必要なrunc 2b18fe1d885eに更新します（bsc#1128376、bsc#1134068）。

Docker 18.09.5-ceに更新します。パッケージのUpstream変更ログを参照してください（bsc#1128376、bsc#1134068）。

docker-test：テストパッケージングの改善（bsc#1128746）。

daemon.jsonファイルを/etc/dockerディレクトリに移動します（bsc#1114832）。

golang(API)の削除を元に戻します。これは、特定のケースでこのbreaks >=が必要になることが判明したためです（bsc#1114209）。ｈ

goビルドの失敗を修正します（bsc#1121397）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Rubyプログラミング言語に複数の脆弱性が発見されました。攻撃者がサービス拒否（DoS）を誘発させ、アクセス制御を回避し、開発者のコンピューターで任意のコードを実行する可能性があります。

CVE-2017-15041

Goでは、「go get」リモートコマンドを実行できる可能性があります。カスタムドメインを使用すると、配置によって、example.com/pkg1はSubversionリポジトリを指し示しますが、example.com/pkg1/pkg2はGitリポジトリを指すように調整することが可能です。Subversionリポジトリのpkg2ディレクトリにGitチェックアウトが含まれていて、動作順序が適正になるようにした場合、「go get」を誘導して、このGitチェックアウトを再利用し、pkg2からコードを取得する可能性があります。SubversionリポジトリのGitチェックアウトの.git/hooks/に悪意のあるコマンドがある場合、「go get」を実行しているシステムで実行されます。

CVE-2018-16873

「go get」コマンドは、親ディレクトリを悪意のある構成が含まれるGitリポジトリのルートとして扱う可能性があるため、-uフラグと悪意のあるGoパッケージのインポートパスを使用して実行される際、リモートコード実行に脆弱です。

CVE-2018-16874

波括弧（「{」および「}」の両方の文字）を含む悪意のあるGoパッケージのインポートパスを使用して実行した際、「go get」コマンドはディレクトリトラバーサルに脆弱です。攻撃者は任意のファイルシステムへの書き込みを引き起こすことができ、それによってコードが実行される可能性があります。

CVE-2019-9741

net/httpでは、http.NewRequestの2つ目の引数が\r\nを指定しHTTPヘッダーまたはRedisコマンドが後に続く場合に示されるように、攻撃者がurlパラメーターを制御するときCRLFインジェクションが可能になります。

CVE-2019-16276

Goにより、HTTPリクエストスマグリングが可能になります。

CVE-2019-17596

無効なDSA公開鍵を含むネットワークトラフィックの処理を試行する際、Goがパニックになる可能性があります。クライアントからクライアント証明書を検証するサーバーへのトラフィックなど、複数の攻撃シナリオがあります。

CVE-2021-3114

crypto/elliptic/p224.goが正しくない出力を生成する可能性があります。これは、P-224フィールドでの最後の完全な低減中の最下行のアンダーフローに関連しています。

Debian 9 'Stretch'では、これらの問題はバージョン1.7.4-2+deb9u3で修正されています。

お使いのgolang-1.7パッケージをアップグレードすることを推奨します。

golang-1.7の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/golang-1.7

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このcontainerd、docker、docker-runc、go、go1.11、go1.12、golang-github-docker-libnetworkの更新では、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2019-5736：containerd：コンテナブレイクアウトの脆弱性を修正します（bsc#1121967）。

  - CVE-2019-6486：goセキュリティリリース。P-521およびP-384に影響するcrypto/elliptic CPUのDoSの脆弱性を修正します（bsc#1123013）。

  - CVE-2018-16873：goセキュリティリリース。cmd/goリモートコマンドの実行を修正します（bsc#1118897）。

  - CVE-2018-16874：goセキュリティリリース。cmd/goディレクトリトラバーサルを修正します（bsc#1118898）。

  - CVE-2018-16875：goセキュリティリリース。crypto/x509 CPUのサービス拒否を修正します（bsc#1118899）。

その他の変更とバグ修正：

  - v18.09.5-ceに必要なcontainerd v1.2.5に更新します（bsc#1128376、 bsc#1134068）。

  - docker v18.09.5-ceに必要なrunc 2b18fe1d885eに更新します（bsc#1128376、 bsc#1134068）。

  - Docker 18.09.5-ceに更新します。packagedのUpstream変更ログを参照してください（bsc#1128376、 bsc#1134068）。

  - docker-test：テストパッケージングの改善（bsc#1128746）。

  - daemon.jsonファイルを/etc/dockerディレクトリに移動します（bsc#1114832）。

  - golang(API)の削除を元に戻します。これは、特定のケースでこのbreaks >= が必要になることが判明したためです（bsc#1114209）。

  - goビルドの失敗を修正します（bsc#1121397）。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

helm-mirrorをバージョン0.2.1にするこの更新プログラムでは、以下の問題が修正されています：

修正されたセキュリティ問題：

CVE-2018-16873：リモートのコマンド実行を修正しました（bsc#1118897）

CVE-2018-16874：インポートパスの中括弧を介した「go get」のディレクトリトラバーサルを修正しました（bsc#1118898）

CVE-2018-16875：CPUのサービス拒否を修正しました（bsc#1118899）

修正された非セキュリティ問題：v0.2.1へ更新します（bsc#1120762）

helm-mirrorをコンテナモジュールに含めます（bsc#1116182）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

- go1.11.4へのリベース

  - CVE-2018-16875、CVE-2018-16874およびCVE-2018-16873に対するセキュリティ修正

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

containerd、docker、docker-runc、golang-github-docker-libnetwork、runcのこの更新プログラムでは、以下の問題が修正されています。修正されたセキュリティ問題：

修正されたセキュリティ問題：

CVE-2018-16875：CPUのサービス拒否を修正しました（bsc#1118899）。

CVE-2018-16874：GOPATHモードでディレクトリトラバーサルが発生する可能性のあるgo getコマンドの脆弱性が修正されました。（bsc#1118898）

CVE-2018-16873：GOPATHモードで-uを指定して実行するとき、リモートでコードが実行される可能性があるgo getコマンドの脆弱性が修正されました。（bsc#1118897）

CVE-2019-5736：再実行中に/proc/self/exeを効果的にコピーすることで、コンテナのブレイクアウトを引き起こす可能性のある、ホストのruncバイナリへの書き込み攻撃を回避します。（bsc#1121967）

その他の変更と修正：Groupを使用するためにシェル完了を更新します：
システム/シェル。

ローテーションログ構成でdaemon.jsonファイルを追加します（bsc#1114832）

Docker 18.09.1-ce （bsc#1124308）とrunc 96ec2177ae84に更新します。
パッケージ化された/usr/share/doc/packages/docker/CHANGELOG.mdでアップストリームの変更ログを参照してください。

go要件を>= go1.10に更新します

テストおよびバイナリビルドに-buildmode = pieを使用します（bsc#1048046およびbsc#1051429）。

ビルドログのノイズを減らすために「cp -r」の使用を削除しました。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このgo1.11用の新しいパッケージでは、以下の問題が修正されます：修正されたセキュリティ問題：

  - CVE-2018-16873：-uフラグで実行された場合の、go getにおけるリモートコードの実行を修正しました（bsc#1118897）

  - CVE-2018-16874：コード実行の原因となる、go get内の任意のファイルシステムの書き込みを修正しました（bsc#1118898）

  - CVE-2018-16875：証明書チェーン検証中のcrypto/x509パッケージのサービス拒否を修正しました（bsc#1118899）

セキュリティ以外の修正された問題：

  - ppc64leのPIEリンカーフラグのビルドエラーを修正しました（bsc#1113978 bsc#1098017）

  - バージョン間の切り替え中断されないようにするために、profile.d/go.shがGOROOT=を設定しないようにします。これにより、（GOPATHも自動的に設定されるため）go.shの必要性は完全に排除されます（bsc#1119634）次の追跡された回帰の修正が含まれています：

  -「...」を含むインポートパスパターンでgo getを中断する回帰を修正します（bsc#1119706）

helm-mirrorをバージョン0.2.1にするこの更新プログラムでは、以下の問題が修正されています：

キャッシュサイドチャネル攻撃の軽減：

CVE-2018-16873：リモートのコマンド実行を修正しました（bsc#1118897）

CVE-2018-16874：インポートパスの中括弧を介した「go get」のディレクトリトラバーサルを修正しました（bsc#1118898）

CVE-2018-16875：CPUのサービス拒否を修正しました（bsc#1118899）

修正された非セキュリティ問題： v0.2.1へ更新します（bsc#1120762）

helm-mirrorをコンテナモジュールに含めます（bsc#1116182）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートの openSUSE 15 ホストには、SUSE-SU-2024:3656-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 3.5.12 への更新:

    セキュリティ修正:

    - CVE-2018-16873: cmd/go でのリモートコマンド実行を修正しました (bsc#1118897)
    - CVE-2018-16874: cmd/go でディレクトリトラバーサルを修正しました (bsc#1118898)
    - CVE-2018-16875: crypto/x509 で CPU のサービス拒否を修正しました (bsc#1118899)
    - CVE-2018-16886: RBAC および client-cert-auth が有効な場合の不適切な認証の問題を修正しました (bsc#1121850)
    - CVE-2020-15106: decodeRecord メソッドのパニックを修正しました (bsc#1174951)
    - CVE-2020-15112: エントリインデックスの不適切なチェックを修正しました (bsc#1174951)
    - CVE-2021-28235: デバッグ機能による情報漏洩を修正しました (bsc#1210138)
    - CVE-2022-41723: net/http における HPACK デコーディングの 2 次複雑度を修正しました (bsc#1208270、bsc#1208297)
    - CVE-2023-29406: go net/http のホストヘッダーの不十分なサニタイズを修正しました (bsc#1213229)
    - CVE-2023-47108: otelgrpc の DoS 脆弱性を修正しました (bsc#1217070)
    - CVE-2023-48795: crypto/ssh で ssh チャネル整合性を壊すプレフィックス切り捨て (別名 Terrapin 攻撃) を修正しました (bsc#1217950、bsc#1218150)

    その他の変更：

    - systemd サービスに強化策を追加しました (bsc#1181400)
    - 静的 /tmp ファイルの問題を修正しました (bsc#1199031)
    - 開始しない systemd サービスを修正しました (bsc#1183703)

    全変更ログ：

    https://github.com/etcd-io/etcd/compare/v3.3.1...v3.5.12

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
209193	openSUSE 15 Security Update : etcd (SUSE-SU-2024:3656-1)	Nessus	SuSE Local Security Checks	2024/10/17	2024/10/18	critical
122050	SUSE SLED15 / SLES15セキュリティ更新プログラム：docker（SUSE-SU-2019:0286-1）	Nessus	SuSE Local Security Checks	2019/2/8	2021/1/13	high
119852	GLSA-201812-09：Go：複数の脆弱性	Nessus	Gentoo Local Security Checks	2018/12/24	2020/3/25	high
123165	openSUSEセキュリティ更新プログラム：containerd / dockerおよびgo（openSUSE-2019-1044）	Nessus	SuSE Local Security Checks	2019/3/27	2024/6/12	high
125920	SUSE SLED15 / SLES15セキュリティ更新プログラム：containerd、docker、docker-runc、go、go1.11、go1.12、golang-github-docker-libnetwork（SUSE-SU-2019:1234-2）	Nessus	SuSE Local Security Checks	2019/6/14	2022/1/26	high
147797	DebianDLA-2591-1：golang-1.7のセキュリティ更新	Nessus	Debian Local Security Checks	2021/3/15	2024/1/12	critical
125697	openSUSEセキュリティ更新プログラム：containerd/docker/docker-runc/etc（openSUSE-2019-1499）	Nessus	SuSE Local Security Checks	2019/6/4	2024/5/17	high
121058	SUSE SLES15セキュリティ更新プログラム：helm-mirror（SUSE-SU-2019:0048-1）	Nessus	SuSE Local Security Checks	2019/1/10	2020/2/26	high
121075	Fedora 29：golang（2019-1198005e1f）	Nessus	Fedora Local Security Checks	2019/1/11	2020/2/26	high
122472	SUSE SLED15 / SLES15セキュリティ更新プログラム：containerd、docker、docker-runc、golang-github-docker-libnetwork、runc（SUSE-SU-2019:0495-1）	Nessus	SuSE Local Security Checks	2019/2/27	2022/1/26	high
123157	openSUSEセキュリティ更新プログラム：go1.11 (openSUSE-2019-1018)	Nessus	SuSE Local Security Checks	2019/3/27	2021/1/19	high
126492	SUSE SLES15セキュリティ更新プログラム：helm-mirror（SUSE-SU-2019:0048-2）	Nessus	SuSE Local Security Checks	2019/7/5	2020/1/8	high
209193	openSUSE 15 セキュリティ更新: etcd (SUSE-SU-2024:3656-1)	Nessus	SuSE Local Security Checks	2024/10/17	2024/10/18	critical

偵測

搜尋 Plugin

critical

high

high

high

high

critical

high

high

high

high

high

high

critical