カーネルをアップデートしてもAmazon Inspectorで検知するときの対応

Amazon Inspectorを使うと、EC2のCVEなどの脆弱性があるか診断できます。脆弱性のあるカーネルをアップデートしてもInspectorの指摘が出ることがあります。指摘を消したい場合は、古いカーネルを削除することで対応できます。

Inspectorの結果を確認する

検証には、カーネル「4.14.123-86.109.amzn1.x86_64」がインストールされているAmazon Linux 1を使いました。

# uname -r
4.14.123-86.109.amzn1.x86_64
#

InspectorのCVEルールパッケージで診断すると、CVE-2019-3900とCVE-2019-1125が検出されました。

Amazon Linuxの脆弱性に詳細はAmazon Linux Security Centerで確認できます。CVE-2019-3900はこちらを見ると、kernel-4.14.133-88.105が対応バージョンであることがわかります。CVE-2019-1125はこちらから、kernel-4.14.133-88.112が対応バージョンです。「Issue Correction」からyum updateでカーネルをアップデートで対応できることがわかります。また、New Packagesで対応バージョンがわかります。

yum update -yとOS再起動で全てのパッケージを更新し、カーネルバージョンを確認するとどちらの脆弱性にも対応したバージョンになりました。実行中のバージョンは「4.14.133-88.112」です。

# uname -r
4.14.133-88.112.amzn1.x86_64
#

この状態でInspectorで診断すると新しいカーネルになったにも関わらず、CVE-2019-3900とCVE-2019-1125は検出されます。

インストール済みのカーネルを確認する

Amazon Linux 2では、デフォルトで3世代のカーネルを保持します。カーネルをアップデートしても、Inspectorはインストール済みの古いカーネルを検知します。

# cat /etc/yum.conf | grep install
installonly_limit=3
#

rpm -qa kernelでインストールされたカーネルを確認できます。package-cleanup --oldkernels --count=1で1世代を残し、古いカーネルを削除します。

# rpm -qa kernel
kernel-4.14.123-86.109.amzn1.x86_64
kernel-4.14.133-88.112.amzn1.x86_64
[root@ip-172-31-24-47 ~]#
# package-cleanup --oldkernels --count=1
Loaded plugins: priorities, update-motd, upgrade-helper
--> Running transaction check
---> Package kernel.x86_64 0:4.14.123-86.109.amzn1 will be erased
--> Finished Dependency Resolution

Dependencies Resolved

======================================================================================================
 Package            Arch               Version                            Repository             Size
======================================================================================================
Removing:
 kernel             x86_64             4.14.123-86.109.amzn1              installed              94 M

Transaction Summary
======================================================================================================
Remove  1 Package

Installed size: 94 M
Is this ok [y/N]: y
Downloading packages:
Running transaction check
Running transaction test
Transaction test succeeded
Running transaction
  Erasing    : kernel-4.14.123-86.109.amzn1.x86_64                                                1/1
warning: file /lib/modules/4.14.123-86.109.amzn1.x86_64/modules.order: remove failed: No such file or directory
warning: file /lib/modules/4.14.123-86.109.amzn1.x86_64/modules.networking: remove failed: No such file or directory
warning: file /lib/modules/4.14.123-86.109.amzn1.x86_64/modules.modesetting: remove failed: No such file or directory
warning: file /lib/modules/4.14.123-86.109.amzn1.x86_64/modules.drm: remove failed: No such file or directory
warning: file /lib/modules/4.14.123-86.109.amzn1.x86_64/modules.builtin: remove failed: No such file or directory
warning: file /lib/modules/4.14.123-86.109.amzn1.x86_64/modules.block: remove failed: No such file or directory
  Verifying  : kernel-4.14.123-86.109.amzn1.x86_64                                                1/1

Removed:
  kernel.x86_64 0:4.14.123-86.109.amzn1

Complete!
# rpm -qa kernel
kernel-4.14.133-88.112.amzn1.x86_64
#

Inspectorで診断すると、カーネルの指摘は0になりました。

さいごに

Amazon Inspectorでカーネルの脆弱性を検知した時にカーネルをアップデートしても指摘が出ることがあります。Amazon Linux Security Centerで脆弱性を確認し、対応バージョンを確認できます。Amazon Linux 2はこちらです。カーネルを対応バージョンにアップデートしているにも関わらず、Inspectorで指摘が出た際はこちらの手順をお試しください。

参考

• 以前にインストールされていたカーネルバージョンパッケージの脆弱性に関する Amazon Inspector の通知を解決する方法を教えてください。