本日のトレーニング(2018/10/11)

2018/10/08のトレーニング

本日のトレーニング。40分程度しか時間が取れなくかったので、簡単に。

ベンチプレス(三分インターバル)
足を上げて
60kgx10回x1セット
100kgx4回x1セット足をついて
115kgx1回x1セット
110kgx2回x1セットバーが離れる程度
165kgx12回x1セット
175kgx10回x1セット

110kgx2回x1セット足を上げて
105kgx2回x1セット

腹筋 400回
V字腹筋 100回
腹筋(斜め)60回/30回/10回

ハンギングレイズ
10回x3セット、8回x2セット

kubernetesの脆弱性(CVE-2018-1002100)


こちらのサイトはoss.sios.com/securityの引越し先が整理される前の仮の場所になります。



06/02/2018にkubernetesの脆弱性情報(CVE-2018-1002100)が公開されています。今回はこれらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。


こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

06/02/2018にkubernetesの脆弱性情報(CVE-2018-1002100)が公開されています。今回はこれらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。



Priority

Moderate(CVE-2018-1002100)

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-1002100
    • ローカルの任意のファイル上書きの可能性

    • 重要度 – Moderate

    • 1.5.x, 1.6.x, 1.7.x, 1.8.x, そして1.9.6より以前のバージョンのKubernetesでは、kubectl cpコマンドがtarデータを安全に取り扱っていませんでした。これにより、ローカルの任意のファイルが上書きされる可能性があります。


主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください


対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

また、OSの再起動が発生しますので、peacemakerなどOSSのクラスタ製品を使うとサービス断の時間を最小限にすることが出来ます。

[参考]

OpenShift Source-to-Image build privilege escalation to root

セキュリティ系連載案内

QEMUの脆弱性(CVE-2018-7858)


こちらのサイトはoss.sios.com/securityの引越し先が整理される前の仮の場所になります。



少し古い情報になりますが、05/15/2018に、QEMUの脆弱性についての情報(CVE-2018-7858)が出ています。KVMやXenにも関わってきますので、今回は、この脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。


こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。

少し古い情報になりますが、05/15/2018に、QEMUの脆弱性についての情報(CVE-2018-7858)が出ています。KVMやXenにも関わってきますので、今回は、この脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。


関連するCVE

CVE-2018-7858

Priority

Moderate

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • CVE-2018-7858
    • ローカルのゲストOS特権ユーザによるQEMUホストのDoSの可能性

    • 重要度 – Moderate

    • Cirrus CLGD 54xx VGA エミュレータをサポートするようにビルドされたQEMUでは、VGAディスプレイを更新した際に不正な計算を行い、ローカルのゲストOS特権ユーザによるDoS(境界外読み取りとQEMUプロセスのクラッシュ)を引き起こす事が出来る可能性があります。


主なディストリビューションの対応方法

関係するパッケージのバージョンを更新する必要があります。

詳細は、各ディストリビューションの提供元にご確認ください


対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

また、OSの再起動が発生しますので、peacemakerなどOSSのクラスタ製品を使うとサービス断の時間を最小限にすることが出来ます。

[参考]

CVE-2018-7858

セキュリティ系連載案内

pcs関連に複数の脆弱性(CVE-2018-1079, CVE-2018-1086, CVE-2018-1000119)


こちらのサイトはoss.sios.com/securityの引越し先が整理される前の仮の場所になります。



06/01/2018にpcs関連に複数の脆弱性情報(CVE-2018-1079, CVE-2018-1086, CVE-2018-1000119)が公開されています。今回はこれらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。


こちらのサイトはoss.sios.comの引越し先が整理される前の仮の場所になります。

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

06/01/2018にpcs関連に複数の脆弱性情報(CVE-2018-1079, CVE-2018-1086, CVE-2018-1000119)が公開されています。今回はこれらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。



Priority

Important(CVE-2018-1079), Moderate(CVE-2018-1086, CVE-2018-1000119)

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-1079
    • 認証されたユーザによる特権昇格の可能性

    • 重要度 – Important

    • 0.9.164/0.10以前のバージョンのpcsには、認証されたユーザによる悪意のあるRESTコールにより特権昇格の脆弱性があります。pcsdサービスのRESTインターフェースは/remote/put_fileクエリからのファイル名のサニタイズを完全には行っていませんでした。/etc/boothディレクトリが存在する場合、認証された書き込み権限を持つ攻撃者はpcsdプロセスのSELinuxコンテキストで、任意のデータを/etc/boothディレクトリ中の任意のファイルとして作成したり上書きが出来ます。

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-1086
    • 有効なトークンを持つリモート攻撃者による権限昇格の可能性

    • 重要度 – Moderate

    • 0.9.164/0.10以前のバージョンのpcsには、デバッグパラメータの除去を迂回できる脆弱性があります。pcsdサービスのRESTインターフェースは/run_pcsクエリ中のpcsデバッグ引数を完全に取り除いていませんでした。これを利用して、有効なトークンを持つリモート攻撃者は権限を昇格できる可能性が有ります。

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-1000119
    • タイミングアタックの脆弱性

    • 重要度 – Moderate

    • 1.5.4/2.0.0.rc3以前のバージョンのSinatra rack-protectionにはタイミングアタックの脆弱性があります。攻撃者はネットワーク接続出来るrubyアプリケーションを通して悪用されます。


主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください


対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

また、OSの再起動が発生しますので、peacemakerなどOSSのクラスタ製品を使うとサービス断の時間を最小限にすることが出来ます。

[参考]

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-1079

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-1086

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-1000119

セキュリティ系連載案内