runc の CVE-2024-21626 を修正し、ホストのファイルシステムが公開されたり、ホスト上でバイナリが実行されたりするコンテナエスケープを防止します。
影響を受けるバージョン
runc
| ステータス | バージョン |
|---|---|
| 影響あり | runc 1.0.0-rc93 ～ 1.1.11 |
| 修正済み | runc 1.1.12 |
ACK クラスター
containerd 1.5.13 または containerd 1.6.20 を実行中の ACK クラスターは影響を受けます。その他の containerd バージョンには脆弱性はありません。
ご利用のノードプールのランタイムバージョンは、ACK コンソールの 基本情報 ページで確認できます。
説明
影響なし：
-
新規作成および既存の ACK クラスターに新たに追加されたノード（すでにアップグレード済み）
-
Docker ランタイムを使用している ACK クラスター
ソリューション
コンテナランタイムのアップグレード（推奨）
containerd リリースノート を確認し、ノードプールの更新 に従って、ACK クラスターランタイムをパッチ適用済みのバージョンにアップグレードしてください。
イメージソースの制限
信頼できるリポジトリからのみイメージを許可するため、ACKAllowedRepos ポリシー (ACK Pod セキュリティポリシーの設定と適用) を使用してください。最小権限の原則に従い、信頼できるユーザーのみにイメージのインポート権限を付与してください。
コンテナイメージの整合性検証
コンテナイメージに署名し、kritis-validation-hook を使用してイメージの署名を検証します：
ACK Edge クラスター
脆弱性 CVE-2024-21626 への対応 をご参照ください。