An update of the kubernetes package has been released.

Resolves: #1715758 - CVE-2019-9946

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

リモートの Oracle Linux 7 ホストに、ELSA-2019-4593 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Cloud Native Computing Foundation (CNCF) CNI (Container Networking Interface) 0.7.4 には、Kubernetes に影響を与えるネットワークファイアウォールの設定ミスがあります。CNI 用の HostPort のセットアップに使用される CNI 「portmap」プラグインは、iptables nat チェーンの前部にルールを挿入します。これは KUBE-SERVICES チェーンよりも優先されます。このため、チェーンの後半にある NodePorts のような、より適切でより具体的なサービス定義ルールが存在する場合でも、HostPort/portmap ルールが着信トラフィックと一致する可能性があります。この問題は、CNI 0.7.5 および Kubernetes 1.11.9、1.12.7、1.13.5、および 1.14.0 で修正されています。(CVE-2019-9946)

  - kubectl cp コマンドにより、コンテナとユーザーマシンの間でファイルをコピーする可能性があります。コンテナからファイルをコピーするために、Kubernetes はコンテナ内に tar を作成し、それをネットワーク経由でコピーします。kubectl がユーザーのマシンでファイルを解凍します。コンテナ内の tar バイナリが悪意ある場合、任意のコードを実行し、予期しない悪意ある結果を出力する可能性があります。攻撃者がこれを利用して、kubectl cp が呼び出されたときに、ユーザーのマシンの任意のパスにファイルを書き込むことができます。これは、ローカルユーザーのシステム権限によってのみ制限されます。untar 関数は、シンボリックリンクの作成とフォローの両方が可能です。この問題は、kubectl v1.11.9、v1.12.7、v1.13.5、v1.14.0 で解決されています。(CVE-2019-1002101)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

解決：#1715758 - CVE-2019-9946

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

远程 Oracle Linux 7 主机上安装的多个程序包受到 ELSA-2019-4593 公告中提及的多个漏洞影响。

  - Cloud Native Computing Foundation (CNCF) CNI（容器网络接口）0.7.4 存在影响 Kubernetes 的网络防火墙错误配置。用于设置 CNI 的 HostPorts 的 CNI“portmap”插件在优先于 KUBE- SERVICES 链的 iptables nat 链的前端插入规则。因此，HostPort/portmap 规则可能会匹配传入的流量，即使之后链中出现更合适、更具体的服务定义规则（如 NodePorts）亦会如此。此问题已在 CNI 0.7.5 和 Kubernetes 1.11.9、1.12.7、1.13.5 及 1.14.0 中修复。(CVE-2019-9946)

  - kubectl cp 命令允许在容器与用户计算机之间复制文件。如要从容器复制文件，Kubernetes 会在容器内创建一个 tar，通过网络复制此 tar，然后 kubectl 会在用户的计算机上对其进行解包。如果容器中的 tar 二进制文件为恶意文件，它便可运任意何代码并输出意外的恶意结果。在调用 kubectl cp 时，攻击者可利用此问题将文件写入用户计算机上的任何路径，具体操作仅受本地用户的系统权限限制。untar 函数既可创建、又能跟随符号链接。此问题已在 kubectl v1.11.9、v1.12.7、v1.13.5 和 v1.14.0 中解决。(CVE-2019-1002101)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Oracle Linux 7 主機中安裝的套件受到 ELSA-2019-4593 公告中提及的多個弱點影響。

  - Cloud Native Computing Foundation (CNCF) CNI (Container Networking Interface) 0.7.4 有一個網路防火牆設定錯誤，會影響 Kubernetes。CNI 'portmap' Plugin (用於設定 CNI 的 HostPorts) 會在 iptables nat 鏈結的前端插入規則；iptables nat 鏈結優先於 KUBE- SERVICES 鏈結。因此，即使在鏈結的後面有更適合、更具體的服務定義規則 (如 NodePorts)，HostPort/portmap 規則仍可符合傳入流量。此問題已在 CNI 0.7.5 和 Kubernetes 1.11.9、1.12.7、1.13.5 和 1.14.0 中修正。(CVE-2019-9946)

  - kubectl cp 命令允許在容器和使用者電腦之間複製檔案。若要從容器複製檔案，Kubernetes 會在容器內建立一個 tar，並透過網路進行複制，然後 kubectl 在使用者的電腦上將其解壓縮。如果容器中的 tar 二進位檔為惡意檔，則它可執行任何程式碼並輸出非預期的惡意結果。攻擊者可利用此弱點，在呼叫 kubectl cp 時，將檔案寫入使用者電腦上的任何路徑，僅受本機使用者的系統權限限制。untar 函式可建立和遵循符號連結。此問題已在 kubectl v1.11.9、v1.12.7、v1.13.5 和 v1.14.0 中解決。(CVE-2019-1002101)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The remote Rocky Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RLSA-2019:3403 advisory.

  - The containers/image library used by the container tools Podman, Buildah, and Skopeo in Red Hat Enterprise     Linux version 8 and CRI-O in OpenShift Container Platform, does not enforce TLS connections to the     container registry authorization service. An attacker could use this vulnerability to launch a MiTM attack     and steal login credentials or bearer tokens. (CVE-2019-10214)

  - ip_reass in ip_input.c in libslirp 4.0.0 has a heap-based buffer overflow via a large packet because it     mishandles a case involving the first fragment. (CVE-2019-14378)

  - Cloud Native Computing Foundation (CNCF) CNI (Container Networking Interface) 0.7.4 has a network firewall     misconfiguration which affects Kubernetes. The CNI 'portmap' plugin, used to setup HostPorts for CNI,     inserts rules at the front of the iptables nat chains; which take precedence over the KUBE- SERVICES     chain. Because of this, the HostPort/portmap rule could match incoming traffic even if there were better     fitting, more specific service definition rules like NodePorts later in the chain. The issue is fixed in     CNI 0.7.5 and Kubernetes 1.11.9, 1.12.7, 1.13.5, and 1.14.0. (CVE-2019-9946)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Oracle Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the ELSA-2019-4593 advisory.

  - Cloud Native Computing Foundation (CNCF) CNI (Container Networking Interface) 0.7.4 has a network firewall     misconfiguration which affects Kubernetes. The CNI 'portmap' plugin, used to setup HostPorts for CNI,     inserts rules at the front of the iptables nat chains; which take precedence over the KUBE- SERVICES     chain. Because of this, the HostPort/portmap rule could match incoming traffic even if there were better     fitting, more specific service definition rules like NodePorts later in the chain. The issue is fixed in     CNI 0.7.5 and Kubernetes 1.11.9, 1.12.7, 1.13.5, and 1.14.0. (CVE-2019-9946)

  - The kubectl cp command allows copying files between containers and the user machine. To copy files from a     container, Kubernetes creates a tar inside the container, copies it over the network, and kubectl unpacks     it on the user's machine. If the tar binary in the container is malicious, it could run any code and     output unexpected, malicious results. An attacker could use this to write files to any path on the user's     machine when kubectl cp is called, limited only by the system permissions of the local user. The untar     function can both create and follow symbolic links. The issue is resolved in kubectl v1.11.9, v1.12.7,     v1.13.5, and v1.14.0. (CVE-2019-1002101)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
124861	Photon OS 2.0: Kubernetes PHSA-2019-2.0-0148	Nessus	PhotonOS Local Security Checks	2019/5/14	2024/7/23	high
125932	Fedora 29 : containernetworking-plugins (2019-24217abfdf)	Nessus	Fedora Local Security Checks	2019/6/17	2024/5/15	high
180683	Oracle Linux 7: kubernetes / kubeadm-upgrade / kubeadm-ha-setup (ELSA-2019-4593)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	high
125932	Fedora 29：containernetworking-plugins（2019-24217abfdf）	Nessus	Fedora Local Security Checks	2019/6/17	2024/5/15	high
125867	Fedora 30：containernetworking-plugins（2019-d2b57d3b19）	Nessus	Fedora Local Security Checks	2019/6/13	2024/5/16	high
180683	Oracle Linux 7：kubernetes / kubeadm-upgrade / kubeadm-ha-setup (ELSA-2019-4593)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	high
180683	Oracle Linux 7：kubernetes / kubeadm-upgrade / kubeadm-ha-setup (ELSA-2019-4593)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	high
125867	Fedora 30 : containernetworking-plugins (2019-d2b57d3b19)	Nessus	Fedora Local Security Checks	2019/6/13	2024/5/16	high
184867	Rocky Linux 8 : container-tools:rhel8 (RLSA-2019:3403)	Nessus	Rocky Linux Local Security Checks	2023/11/7	2023/11/7	high
180683	Oracle Linux 7 : kubernetes / kubeadm-upgrade / kubeadm-ha-setup (ELSA-2019-4593)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high