Cisco Təhlükəsizlik Tədqiqatçıları zəiflik haqqında məlumat (CVE-2019-5021). Docker konteyner izolyasiya sistemi üçün Alp dağılımı. Müəyyən edilmiş problemin mahiyyəti ondan ibarətdir ki, root istifadəçisi üçün standart parol birbaşa root kimi girişi bloklamadan boş parola təyin edilib. Xatırlayaq ki, Alpine Docker layihəsindən rəsmi şəkillər yaratmaq üçün istifadə olunur (əvvəllər rəsmi quruluşlar Ubuntu əsasında idi, lakin sonralar var idi. Alp dağlarında).
Problem Alpine Docker 3.3-ün qurulmasından bəri mövcuddur və 2015-ci ildə əlavə edilmiş reqressiya dəyişikliyi nəticəsində yaranıb (3.3 versiyasından əvvəl /etc/shadow "root:!::0:::::" xəttini və sonra “-d” bayrağının köhnəlməsi “root:::0:::::” sətri əlavə edilməyə başlandı. Problem əvvəlcə müəyyən edildi və 2015-ci ilin noyabrında, lakin dekabrda yenə səhvən eksperimental şöbənin quruluş fayllarında, sonra isə sabit quruluşlara köçürüldü.
Zəiflik haqqında məlumatda problemin Alpine Docker 3.9-un ən son filialında da göründüyü bildirilir. Mart ayında Alp tərtibatçıları yamaq və zəiflik 3.9.2, 3.8.4, 3.7.3 və 3.6.5-dən başlayaraq, lakin artıq dayandırılmış köhnə 3.4.x və 3.5.x filiallarında qalır. Bundan əlavə, tərtibatçılar hücum vektorunun çox məhdud olduğunu və təcavüzkarın eyni infrastruktura daxil olmasını tələb etdiyini iddia edirlər.
Mənbə: opennet.ru