「Docker」で「IPv6」の無効化が反映されない脆弱性 - アップデートで修正
「Docker」において、「IPv6」のネットワークインタフェースを設定で無効化していても反映されず、有効のままである脆弱性が判明した。アップデートにて修正されている。
エンジンとなる「Moby 26.0.1」および「同26.0.0」に脆弱性「CVE-2024-32473」が明らかとなったもの。「IPv6」のネットワークインタフェースを無効とする設定を行っていても、実際は有効となったままで、ローカルネットワーク上の他ホストと通信が生じる可能性がある。
ローカルネットワークでルーター広告(RA)がブロードキャストされている場合、コンテナに「SLAAC(Stateless Address Autoconfiguration)」で割り当てられたアドレスが取得される可能性がある。
またインターフェイスは、「IPv6」におけるマルチキャストグループのメンバーともなっており、意図しない構成が「攻撃対象領域」となるおそれがある。
コンテナのファイアウォールでアクセスを制限されていない可能性があることから、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「4.7」、重要度は上から3番目にあたる「中(Moderate)」とレーティングされている。
開発グループでは、現地時間4月18日に「同26.0.2」をリリースし、同脆弱性を修正した。
(Security NEXT - 2024/04/24 )
ツイート
関連リンク
PR
関連記事
Apple、「macOS Sequoia 15.3.2」や「Safari 18.3.1」をリリース
Apple、「iOS 18.3.2」など公開 - 旧iOSにゼロデイ攻撃の可能性
米当局、Windowsに対するゼロデイ攻撃に注意喚起
MSが3月の月例パッチを公開 - ゼロデイ脆弱性6件を修正
「Adobe Acrobat/Reader」に深刻な脆弱性 - アップデートが公開
「Firefox 136」がリリース - ESR版では「クリティカル」脆弱性を修正
2024年の不正アクセス届出166件 - 脆弱性や設定不備が標的に
「OpenText Identity Manager」の脆弱性に注意 - 認証情報漏洩のおそれ
「Ivanti EPM」「VeraCore」が脆弱性攻撃の標的に - 米当局が注意喚起
Ivantiの「ISAC」「N-MDM」に脆弱性 - アップデートで修正