更新时间：2024年02月01日 星期四

阿里云已关注到关于runc的安全问题（CVE-2024-21626），并已第一时间开启相关问题的治理。阿里云会持续监控此问题的更新，保障与runc相关的云产品及云服务的安全性，让广大用户放心使用。

阿里云强烈建议客户关注runc相关应用和系统的更新，及时更新组件至最新版本，或使用相关应用、系统的自动更新机制。

一、阿里云产品影响情况及修复进展

容器服务 ACK 系列

包含容器服务 Kubernetes 版  ACK、容器服务 Serverless 版 ACK Serverless、分布式云容器平台 ACK One、阿里云容器服务灵骏版

• 影响范围：
  • 集群运行时为containerd，且版本为1.5.13和1.6.20。其余版本不受该漏洞影响。
  • 您可以在节点池的基本信息中查看节点池的运行时以及运行时版本。
• 修复情况：

  • 对于上述影响范围内的存量ACK集群节点，请您关注并参考Containerd运行时发布记录，并及时更新集群运行时至漏洞修复版本。具体操作，请参见节点池升级。

• ACK相关产品公告可见：

  • https://help.aliyun.com/zh/ack/product-overview/vulnerability-cve-2024-21626-bulletin

弹性容器实例 ECI

默认标准方式下创建的实例，已经完成了 runc 安全漏洞（CVE-2024-21626）的升级修复，新建和存量 ECI 容器实例均不受该漏洞影响。

二、客户通知

2月1日，阿里云安全对公有云客户发布安全公告《runc 文件描述符泄漏漏洞（CVE-2024-21626）》

我们会关注后续进展，请随时关注官方公告。如果您需要更多详细信息或帮助，请联系 阿里云客服 咨询。

【相关链接】

runc官方链接：https://github.com/opencontainers/runc/releases