Описание
Уязвимость инструмента для запуска изолированных контейнеров runc связана с ошибками обработки файлового дескриптора. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код
Вендор
Сообщество свободного программного обеспечения
Novell Inc.
ООО «РусБИТех-Астра»
Google Inc
Docker Inc.
Fedora Project
АО «Концерн ВНИИНС»
АО «НППКТ»
Наименование ПО
Debian GNU/Linux
OpenSUSE Leap
Astra Linux Special Edition
runc
Kubernetes
Docker
Fedora
Astra Linux Common Edition
ОС ОН «Стрелец»
ОСОН ОСнова Оnyx
Версия ПО
9 (Debian GNU/Linux)
42.3 (OpenSUSE Leap)
1.6 «Смоленск» (Astra Linux Special Edition)
1.0-rc6 (runc)
1.0-rc5 (runc)
1.0-rc4 (runc)
1.0-rc3 (runc)
1.0-rc2 (runc)
1.0-rc1 (runc)
до 1.10.12-gke.7 (Kubernetes)
до 1.11.6-gke.11 (Kubernetes)
до 1.11.7-gke.4 (Kubernetes)
до 1.12.5-gke.5 (Kubernetes)
до 18.09.2 (Docker)
29 (Fedora)
2.12 «Орёл» (Astra Linux Common Edition)
15.0 (OpenSUSE Leap)
15.1 (OpenSUSE Leap)
30 (Fedora)
8 (Debian GNU/Linux)
до 16.01.2023 (ОС ОН «Стрелец»)
до 2.12 (ОСОН ОСнова Оnyx)
Тип ПО
Операционная система
Прикладное ПО информационных систем
ПО для разработки ИИ
Операционные системы и аппаратные платформы
Сообщество свободного программного обеспечения Debian GNU/Linux 9
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Сообщество свободного программного обеспечения runc 1.0-rc6
Сообщество свободного программного обеспечения runc 1.0-rc5
Сообщество свободного программного обеспечения runc 1.0-rc4
Сообщество свободного программного обеспечения runc 1.0-rc3
Сообщество свободного программного обеспечения runc 1.0-rc2
Сообщество свободного программного обеспечения runc 1.0-rc1
Google Inc Kubernetes до 1.10.12-gke.7
Google Inc Kubernetes до 1.11.6-gke.11
Google Inc Kubernetes до 1.11.7-gke.4
Google Inc Kubernetes до 1.12.5-gke.5
Docker Inc. Docker до 18.09.2
ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»
Сообщество свободного программного обеспечения Debian GNU/Linux 8
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023
АО «НППКТ» ОСОН ОСнова Оnyx до 2.12
Уровень опасности уязвимости
Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8)
Возможные меры по устранению уязвимости
Для Runc:
Обновление программного обеспечения до 0.1.1+dfsg1-2 или более поздней версии
Для Debian:
Обновление программного обеспечения (пакета docker.io) до 0.1.1+dfsg1-2+deb9u2 или более поздней версии
Для Astra Linux:
Обновление программного обеспечения (пакета docker.io) до 0.1.1+dfsg1-2+deb9u2 или более поздней версии
Для Docker:
https://github.com/docker/docker-ce/releases/tag/v18.09.2
Для программных продуктов Novell Inc.:
http://lists.opensuse.org/opensuse-security-announce/2019-03/msg00044.html
http://lists.opensuse.org/opensuse-security-announce/2019-04/msg00074.html
http://lists.opensuse.org/opensuse-security-announce/2019-04/msg00091.html
http://lists.opensuse.org/opensuse-security-announce/2019-05/msg00060.html
http://lists.opensuse.org/opensuse-security-announce/2019-05/msg00073.html
http://lists.opensuse.org/opensuse-security-announce/2019-06/msg00011.html
http://lists.opensuse.org/opensuse-security-announce/2019-06/msg00015.html
http://lists.opensuse.org/opensuse-security-announce/2019-08/msg00084.html
http://lists.opensuse.org/opensuse-security-announce/2019-10/msg00007.html
http://lists.opensuse.org/opensuse-security-announce/2019-10/msg00029.html
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/DLC52IOJN6IQJWJ6CUI6AIUP6GVVG2QP/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/EGZKRCKI3Y7FMADO2MENMT4TU24QGHFR/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/SWFJGIPYAAAMVSWWI3QWYXGA3ZBU2H4W/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/V6A4OSFM5GGOWW4ECELV5OHX2XRAUSPH/
Для ОС ОН «Стрелец»:
Обновление программного обеспечения runc до версии 1.0.0~rc6+dfsg1-3
Обновление программного обеспечения lxc до версии 1:3.1.0+really3.0.3-8strelets0
Обновление программного обеспечения lxc до версии 1:5.0.2-1+deb12u2osnova2u1
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 100%
0.98452
Критический
8.2 High
CVSS3
6.8 Medium
CVSS2
Связанные уязвимости
CVSS3: 8.6
altlinux
больше 7 лет назад
ALT-PU-2019-1233: package `lxc` update to version 3.0.3-alt3
CVSS3: 8.6
altlinux
больше 7 лет назад
ALT-PU-2019-1230: package `containerd` update to version 1.2.3-alt1
CVSS3: 8.6
altlinux
больше 7 лет назад
ALT-PU-2019-1229: package `runc` update to version 1.0.0-alt7.git0a012df
CVSS3: 8.6
altlinux
больше 7 лет назад
ALT-PU-2019-1217: package `pve-lxc` update to version 3.1.0-alt2
CVSS3: 8.6
altlinux
больше 7 лет назад
ALT-PU-2019-1215: package `lxc` update to version 3.0.3-alt2
EPSS
Процентиль: 100%
0.98452
Критический
8.2 High
CVSS3
6.8 Medium
CVSS2