Azure IoT Edge용 CVE-2018-15664에 관한 지침

2019년 7월 24일 수요일에 게시됨

Microsoft는 최근 보고된 취약성 CVE-2018-15664를 해결하는 업데이트가 포함된 Moby 컨테이너 런타임의 새 버전 v3.0.6을 빌드했습니다. 표준 IoT Edge 디바이스가 영향을 받지는 않지만, IoT Edge 디바이스에서 이 컨테이너 런타임을 업데이트하는 것이 좋습니다. 이 제품에서 공격 지점인 ‘docker cp’ 명령을 사용하지는 않지만, 고급 시나리오는 취약할 수 있습니다. 상승된 권한으로 생성된 모듈과 탑재된 docker 소켓은 더 큰 위험에 처해 있습니다.

해당 취약성에 관한 자세한 내용은 여기에서 확인할 수 있습니다.

 

해당하는 경우에 맞게 다음 지침을 사용하여 Moby를 업데이트하세요.

Linux Debian 기반 X64(.deb):

  1. 지침에 따라 Microsoft 키 및 소프트웨어 리포지토리 피드를 등록합니다.
  2. sudo apt-get update
  3. sudo apt-get install moby-engine

Linux CentOS 기반 X64(.rpm):

  1. curl -L https://aka.ms/moby-engine-x86_64-rpm-latest -o moby-engine-3.0.6-centos.x86_64.rpm
  2. sudo yum install -y ./moby-engine-3.0.6-centos.x86_64.rpm

Linux Debian 기반 ARM32(예: Raspberry Pi):

  1. curl -L https://aka.ms/moby-engine-armhf-latest -o moby-engine_3.0.6_armhf.deb
  2. sudo dpkg -i ./moby-engine_3.0.6_armhf.deb

Microsoft가 빌드한 moby 엔진 대신 Docker를 사용하여 테스트 또는 개발하는 경우에는 Docker 엔진(18.09.7 이상)을 업데이트하세요.

Windows는 영향을 받지 않습니다.

  • Azure IoT Edge
  • Security