Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Docker」で「IPv6」の無効化が反映されない脆弱性 - アップデートで修正

「Docker」において、「IPv6」のネットワークインタフェースを設定で無効化していても反映されず、有効のままである脆弱性が判明した。アップデートにて修正されている。

エンジンとなる「Moby 26.0.1」および「同26.0.0」に脆弱性「CVE-2024-32473」が明らかとなったもの。「IPv6」のネットワークインタフェースを無効とする設定を行っていても、実際は有効となったままで、ローカルネットワーク上の他ホストと通信が生じる可能性がある。

ローカルネットワークでルーター広告(RA)がブロードキャストされている場合、コンテナに「SLAAC(Stateless Address Autoconfiguration)」で割り当てられたアドレスが取得される可能性がある。

またインターフェイスは、「IPv6」におけるマルチキャストグループのメンバーともなっており、意図しない構成が「攻撃対象領域」となるおそれがある。

コンテナのファイアウォールでアクセスを制限されていない可能性があることから、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「4.7」、重要度は上から3番目にあたる「中(Moderate)」とレーティングされている。

開発グループでは、現地時間4月18日に「同26.0.2」をリリースし、同脆弱性を修正した。

(Security NEXT - 2024/04/24 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

Fortraのファイル転送ソリューション「FileCatalyst」に脆弱性
輸入楽譜専門店の通販サイトに不正アクセス - クレカ情報など流出
事業申込用のフォームで設定ミスが発生 - 川崎市社会福祉協議会
WP向けプラグイン「SiteGuard WP Plugin」に脆弱性 - アップデートを
サイバー攻撃で従業員などの個人情報が流出した可能性 - 森永製菓
学生が患者の個人情報含むカルテの写真をSNSに投稿 - 名古屋大病院
Trellixの不正侵入防止製品に複数脆弱性 - アップデートを
1月のランサム被害に関するあらたな情報流出を確認 - 綜研化学
ぐんまフラワーパークの元指定管理者が個人情報を不正利用
都再委託先でランサム被害 - データにはパスワード設定