更新时间：2024年02月01日 星期四


阿里云已关注到关于runc的安全问题（CVE-2024-21626），并已第一时间开启相关问题的治理。阿里云会持续监控此问题的更新，保障与runc相关的云产品及云服务的安全性，让广大用户放心使用。


阿里云强烈建议客户关注runc相关应用和系统的更新，及时更新组件至最新版本，或使用相关应用、系统的自动更新机制。


一、阿里云产品影响情况及修复进展

容器服务 ACK 系列
包含容器服务 Kubernetes 版 ACK、容器服务 Serverless 版 ACK Serverless、分布式云容器平台 ACK One、阿里云容器服务灵骏版

影响范围：
集群运行时为containerd，且版本为1.5.13和1.6.20。其余版本不受该漏洞影响。
您可以在节点池的基本信息中查看节点池的运行时以及运行时版本。
修复情况：
对于上述影响范围内的存量ACK集群节点，请您关注并参考“Containerd运行时发布记录”，并及时更新集群运行时至漏洞修复版本。具体操作，请参见节点池升级。

ACK相关产品公告可见：
https://www.alibabacloud.com/help/en/ack/product-overview/vulnerability-cve-2024-21626-bulletin

弹性容器实例 ECI

默认标准方式下创建的实例，已经完成了 runc 安全漏洞（CVE-2024-21626）的升级修复，新建和存量 ECI 容器实例均不受该漏洞影响。

二、客户通知

2月1日，阿里云安全对公有云客户发布安全公告《runc 文件描述符泄漏漏洞（CVE-2024-21626）》

我们会关注后续进展，请随时关注官方公告。如果您需要更多详细信息或帮助，请联系 阿里云客服 咨询。

【相关链接】
runc官方链接：https://github.com/opencontainers/runc/releases
Containerd运行时发布记录：https://www.alibabacloud.com/help/zh/ack/product-overview/release-notes-for-containerd
节点池升级：https://www.alibabacloud.com/help/zh/ack/ack-managed-and-ack-dedicated/user-guide/node-pool-updates