Изображенията на Alpine Docker се доставят с празна root парола

Изследователи по сигурността на Cisco непокрит информация за уязвимостта (CVE-2019-5021) в възли Алпийска дистрибуция за системата за изолация на контейнери Docker. Същността на идентифицирания проблем е, че паролата по подразбиране за root потребителя е зададена на празна парола, без да блокира директно влизане като root. Нека си припомним, че Alpine се използва за генериране на официални изображения от проекта Docker (преди официалните компилации бяха базирани на Ubuntu, но след това имаше преведено на алпийски).

Проблемът съществува от изграждането на Alpine Docker 3.3 и е причинен от промяна на регресията, добавена през 2015 г. (преди версия 3.3, /etc/shadow използва реда "root:!::0:::::", а след отмяна на флага „-d“ започна да се добавя ред „root:::0:::::“. Проблемът беше идентифициран първоначално и фиксиран през ноември 2015 г., но през декември отново по грешка изплува в компилационните файлове на експерименталния клон и след това беше прехвърлен към стабилни компилации.

Информацията за уязвимостта гласи, че проблемът се появява и в последния клон на Alpine Docker 3.9. Alpine разработчици през март освободен кръпка и уязвимост не се появи като се започне с компилации 3.9.2, 3.8.4, 3.7.3 и 3.6.5, но остава в старите клонове 3.4.x и 3.5.x, които вече са преустановени. Освен това разработчиците твърдят, че векторът на атака е много ограничен и изисква нападателят да има достъп до същата инфраструктура.

Източник: opennet.ru