CVE-2022-23538 [中] | Information Disclosure（Singularity Container Ser…）

github.com/sylabs/scs-library-client is the Go client for the Singularity Container Services (SCS) Container Library Service. When the scs-library-client is used to pull a container image, with authentication, the HTTP Authorization header sent by the client to the library service may be incorrectly leaked to an S3 backing storage provider. This occurs in a specific flow, where the library service redirects the client to a backing S3 storage server, to perform a multi-part concurrent download. Depending on site configuration, the S3 service may be provided by a third party. An attacker with access to the S3 service may be able to extract user credentials, allowing them to impersonate the user. The vulnerable multi-part concurrent download flow, with redirect to S3, is only used when communicating with a Singularity Enterprise 1.x installation, or third party server implementing this flow. Interaction with Singularity Enterprise 2.x, and Singularity Container Services (cloud.sylabs.io), does not trigger the vulnerable flow. We encourage all users to update. Users who interact with a Singularity Enterprise 1.x installation, using a 3rd party S3 storage service, are advised to revoke and recreate their authentication tokens within Singularity Enterprise. There is no workaround available at this time.

#	日付	旧 EPSS スコア	新 EPSS スコア	Δ（新 − 旧）
1	2026-06-15	0.38%	0.71%	+0.33%
2	2026-02-24	0.28%	0.38%	+0.10%
3	2026-02-23	—	0.28%	—

日付

旧 EPSS スコア

新 EPSS スコア

Δ（新 − 旧）

2026-06-15

0.38%

0.71%

+0.33%

2026-02-24

0.28%

0.38%

+0.10%

2026-02-23

—

0.28%

—

ベーススコア	バージョン	深刻度	ベクトル	悪用しやすさ	影響	スコアの出典
5.2	3.1	MEDIUM	`CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:L/A:N` クリックして展開攻撃ベクター (AV:N) インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。攻撃の複雑さ (AC:L) 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。必要な権限 (PR:H) 管理者・SYSTEM など、強い権限を握った状態からでないと実害に結びつきにくい。ユーザーの関与 (UI:R) インストールの許可、設定変更、悪意あるファイルの実行など、人の一度の判断がトリガーになる。スコープ (S:U) 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。機密性への影響 (C:H) 広範な機微データの読み取りや持ち出しが現実的。完全性への影響 (I:L) レコードの一部書き換えや設定の歪みなど、限定的だが検知・復旧が必要な水準。可用性への影響 (A:N) 業務継続に支障が出るレベルの停止や劣化は想定されない。	0.9	4.2	[email protected]
7.6	3.1	HIGH	`CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N` クリックして展開攻撃ベクター (AV:N) インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。攻撃の複雑さ (AC:L) 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。必要な権限 (PR:L) 一般ユーザー権限があれば足り、管理者（root 相当）は不要。ユーザーの関与 (UI:R) インストールの許可、設定変更、悪意あるファイルの実行など、人の一度の判断がトリガーになる。スコープ (S:C) 脆弱箇所を足がかりに、別コンポーネントや別権限域まで影響が広がりうる。機密性への影響 (C:H) 広範な機微データの読み取りや持ち出しが現実的。完全性への影響 (I:L) レコードの一部書き換えや設定の歪みなど、限定的だが検知・復旧が必要な水準。可用性への影響 (A:N) 業務継続に支障が出るレベルの停止や劣化は想定されない。	2.3	4.7	[email protected]

ベーススコア

バージョン

深刻度

ベクトル

悪用しやすさ

影響

スコアの出典

5.2

3.1

MEDIUM

CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:L/A:N クリックして展開

攻撃ベクター (AV:N): インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。
攻撃の複雑さ (AC:L): 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。
必要な権限 (PR:H): 管理者・SYSTEM など、強い権限を握った状態からでないと実害に結びつきにくい。
ユーザーの関与 (UI:R): インストールの許可、設定変更、悪意あるファイルの実行など、人の一度の判断がトリガーになる。
スコープ (S:U): 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。
機密性への影響 (C:H): 広範な機微データの読み取りや持ち出しが現実的。
完全性への影響 (I:L): レコードの一部書き換えや設定の歪みなど、限定的だが検知・復旧が必要な水準。
可用性への影響 (A:N): 業務継続に支障が出るレベルの停止や劣化は想定されない。

0.9

4.2

[email protected]

7.6

3.1

HIGH

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N クリックして展開

攻撃ベクター (AV:N): インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。
攻撃の複雑さ (AC:L): 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。
必要な権限 (PR:L): 一般ユーザー権限があれば足り、管理者（root 相当）は不要。
ユーザーの関与 (UI:R): インストールの許可、設定変更、悪意あるファイルの実行など、人の一度の判断がトリガーになる。
スコープ (S:C): 脆弱箇所を足がかりに、別コンポーネントや別権限域まで影響が広がりうる。
機密性への影響 (C:H): 広範な機微データの読み取りや持ち出しが現実的。
完全性への影響 (I:L): レコードの一部書き換えや設定の歪みなど、限定的だが検知・復旧が必要な水準。
可用性への影響 (A:N): 業務継続に支障が出るレベルの停止や劣化は想定されない。

2.3

4.7

[email protected]

CVE-2022-23538 の OS トラッカー

vendor	priority	summary	link
`alpine`	high	CVE-2022-23538: 1 source package rows (apptainer); 5 state rows across 5 repos (3.19-community, 3.20-community, 3.21-community, 3.22-community, edge-community); fixed 5, open 0.	https://security.alpinelinux.org/vuln/CVE-2022-23538
`debian`	not yet assigned	CVE-2022-23538 not yet assigned priority: Debian including 1 source packages (singularity-container), 1 status rows across 1 suites (sid): resolved 1.	https://security-tracker.debian.org/tracker/CVE-2022-23538
`ubuntu`	medium	CVE-2022-23538 medium priority: Ubuntu including 1 source packages (singularity-container), 11 status rows across 11 suites (bionic, focal, jammy, kinetic, noble, oracular, plucky, questing, trusty, upstream, xenial): ignored 4, needs-triage 4, DNE 3.	https://ubuntu.com/security/CVE-2022-23538

CVE-2022-23538 の影響を受けるソフトウェア／構成

ベンダー	製品	バージョン	生の CPE
sylabs	singularity_container_services_library	1.3.2	cpe:2.3:a:sylabs:singularity_container_services_library:1.3.2:::::::*
sylabs	singularity_container_services_library	1.3.3	cpe:2.3:a:sylabs:singularity_container_services_library:1.3.3:::::::*
sylabs	singularity_container_services_library	1.4.0	cpe:2.3:a:sylabs:singularity_container_services_library:1.4.0:::::::*
sylabs	singularity_container_services_library	1.4.1	cpe:2.3:a:sylabs:singularity_container_services_library:1.4.1:::::::*

CVE-2022-23538 の参考情報

URL	タグ
https://github.com/sylabs/scs-library-client/commit/68ac4cab5cda0afd8758ff5b5e2e57be6a22fcfa	Patch Third Party Advisory
https://github.com/sylabs/scs-library-client/commit/b5db2aacba6bf1231f42dd475cc32e6355ab47b2	Patch Third Party Advisory
https://github.com/sylabs/scs-library-client/commit/eebd7caaab310b1fa803e55b8fc1acd9dcd2d00c	Patch Third Party Advisory
https://github.com/sylabs/scs-library-client/security/advisories/GHSA-7p8m-22h4-9pj7	Third Party Advisory

URL

タグ

https://github.com/sylabs/scs-library-client/commit/68ac4cab5cda0afd8758ff5b5e2e57be6a22fcfa

Patch Third Party Advisory

https://github.com/sylabs/scs-library-client/commit/b5db2aacba6bf1231f42dd475cc32e6355ab47b2

Patch Third Party Advisory

https://github.com/sylabs/scs-library-client/commit/eebd7caaab310b1fa803e55b8fc1acd9dcd2d00c

Patch Third Party Advisory

https://github.com/sylabs/scs-library-client/security/advisories/GHSA-7p8m-22h4-9pj7

Third Party Advisory