2024.02.14

【セキュリティパッチリリース】Mirantis Container RuntimeおよびMirantis Kubernetes Engineに影響を及ぼすコンテナエスケープの脆弱性に対応するセキュリティパッチ

本稿は、Mirantisブログ「Security patch available for container escape vulnerability affecting Mirantis Container Runtime and Mirantis Kubernetes Engine」を和訳したものです。

ハッカーがホストのファイルシステムを侵害し、コンテナエスケープを引き起こす runc の脆弱性（CVE-2024-21626）に対し、Mirantis社はパッチをリリースしました。

この脆弱性は、NIST（National Institute of Standards and Technology）とOCI（Open Container Initiative）によって、重要度が高いと評価されており、内部ファイルディスクリプタのリークに起因するものです。この脆弱性は、コンテナの起動に runc アプリケーションを使用している、Mirantis Container Runtime (MCR) と Mirantis Kubernetes Engine (MKE) に影響を及ぼします。

Mirantis社では、MCRおよびMKEに影響を与えるCVEを迅速に修正し、お客様に安全な運用環境を提供しています。

MCRではこの問題を修正するためにソフトウェアのバージョンアップ（23.0.9-1）が必要です。

MKEに対するリスクはバージョンアップなしでも対応可能です。コンテナランタイムとして MCR を使用している MKE のユーザーは、この CVEへのセキュリティを確保するため、直ちに MCRを 23.0.9-1にバージョンアップしてください。ただしMKE自体のバージョンアップは不要です。

この脆弱性に関する詳細な技術情報、およびMCRのバージョンアップとセキュリティについては、「MCR Technical Bulletin」をご参照ください。同様に、MKEのセキュリティに関する情報は、「MKE Technical Bulletin」に記載しています。

Mirantis社は現在、k0s用のセキュリティパッチリリースを準備中です。

Mirantis Container Runtime (旧Docker Enterprise Engine) や Mirantis Kubernetes Engine (旧Docker Enterprise、旧Docker Trusted Registry、旧Universal Control Plane）に関するお問い合わせはこちら。