containerd CRI stream server 存在拒绝服务漏洞-低调大师

containerd CRI stream server 存在拒绝服务漏洞

2022-12-09 418 89

漏洞描述

containerd 是一个开源的容器运行环境，containerd CRI 是一个使 kubelet 或 crictl 等服务能够使用 containerd 容器运行的接口，stream server 用于处理容器 IO 。

containerd 的受影响版本中的 CRI stream server 在处理用户调整终端大小的 tty 请求时存在不受控制的资源消耗漏洞，漏洞源于 CRI stream server 会启动一个 goroutine 线程来处理用户的 tty 请求，当用户的进程由于意外（如错误命令）无法启动时，该 goroutine 线程将在没有接收者的情况下等待发送（挂起），从而导致内存泄漏。攻击者可通过发送恶意的 tty 请求造成 containerd 容器拒绝服务。

漏洞名称	containerd CRI stream server 存在拒绝服务漏洞
漏洞类型	拒绝服务
发现时间	2022-12-08
漏洞影响广度	小
MPS编号	MPS-2022-1898
CVE编号	CVE-2022-23471
CNVD编号	-

影响范围

containerd@(-∞, 1.5.16)

containerd@[1.6.0, 1.6.12)

修复方案

升级containerd到 1.5.16 或 1.6.12 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-1898

https://nvd.nist.gov/vuln/detail/CVE-2022-23471

https://github.com/containerd/containerd/security/advisories/GHSA-2qjp-425j-52j9

https://github.com/containerd/containerd/commit/a05d175400b1145e5e6a735a6710579d181e7fb0

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/221123

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

2022-12-09 12:03:00

Apicat - 实现阿里云的负载均衡的日志分析和自动拦截

基于OpenAPI定义进行增强HTTP日志分析的开源工具APIcat（项目主页）本周更新了阿里云相关功能，构建了从日志分析到实时拦截规则创建的整体流程。 APIcat通过阿里云Logstore功能读取日志，并通过SLB拦截规则创建接口实现拦截规则的自动创建。为阿里云负载均衡打开自动拦截功能配置日志存储负载均衡CLB（SLB）默认不启动日志存储功能，需要手工创建并启动。在负载均衡管理面板中选择日志管理-访问日志中对应负载均衡最后的操作栏中，点击设置，按指引配置SLS日志存储配置好后，显示的存储日志即可传入APIcat作为日志来源配置拦截规则拦截规则依托于负载均衡的访问控制功能，首先需要在访问控制中创建一个策略组，策略组名称即可传入APIcat作为拦截规则的目标设置组设置AccessKey 正常运行APIcat除以上准备工作外，还需要为APIcat的运行申请一个Accesskey 在阿里云创建AccessKeyId和AccessKeySecret（点击头像，选择AccessKey管理），创建AccessKey或者子账户AccessKey都可以。建议创建子账户Access...

434

2022-12-09 08:59:00

Blender 3D 建模软件将提高对 CPU 的要求

Blender 是一个免费和开源的 3D 计算机图形软件工具集，用于创建动画电影、视觉效果、艺术、3D 打印模型、交互式 3D 应用、VR 和计算机游戏。随着 Blender 3.4 的发布，Blender 开发人员开始讨论提高 Blender 对 CPU 的要求，以便这款开源 3D 建模软件能更好发挥其性能。目前运行 Blender 的最低要求是一个带有 SSE2 指令集或更新版本的 x86/x86_64 CPU ，SSE2 全名为Streaming SIMD Extensions 2，是一种 IA-32 架构的 SIMD(单一指令多重数据)指令集，在 2001 年随着 Intel 发表第一代 Pentium 4 处理器也一并推出。当然，SSE2 实在是太古老了，只要不是 20 世纪的古董 CPU ，基本都能满足该要求。因此，Blender 开发者社区协调员 Thomas Dinges 发起了一场关于提高运行 Blender 的最低 CPU 要求的讨论，希望把 Blender 对 CPU 的最低要求改成 SSE4.1 指令集，SSE4.1 指令集随2007 年英特尔的 45 纳米...

537

资源下载

更多资源

Oracle Database，又名Oracle RDBMS

Oracle Database，又名Oracle RDBMS，或简称Oracle。是甲骨文公司的一款关系数据库管理系统。它是在数据库领域一直处于领先地位的产品。可以说Oracle数据库系统是目前世界上流行的关系数据库管理系统，系统可移植性好、使用方便、功能强，适用于各类大、中、小、微机环境。它是一种高效率、可靠性好的、适应高吞吐量的数据库方案。

Eclipse（集成开发环境）

Eclipse 是一个开放源代码的、基于Java的可扩展开发平台。就其本身而言，它只是一个框架和一组服务，用于通过插件组件构建开发环境。幸运的是，Eclipse 附带了一个标准的插件集，包括Java开发工具（Java Development Kit，JDK）。

Java Development Kit(Java开发工具)

JDK是 Java 语言的软件开发工具包，主要用于移动设备、嵌入式设备上的java应用程序。JDK是整个java开发的核心，它包含了JAVA的运行环境（JVM+Java系统类库）和JAVA工具。

Sublime Text 一个代码编辑器

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。