শীর্ষ ডকার চিত্রগুলির 19% এর একটি রুট পাসওয়ার্ড নেই

গত শনিবার, মে 18, কেননা সিকিউরিটির জেরি গ্যাম্বলিন চেক করা তারা যে রুট পাসওয়ার্ড ব্যবহার করে তার উপর ভিত্তি করে ডকার হাবের সবচেয়ে জনপ্রিয় 1000টি ছবি। 19% ক্ষেত্রে এটি খালি ছিল।

আল্পাইনের সাথে পটভূমি

মিনি-গবেষণার কারণ ছিল ট্যালোস ভালনারেবিলিটি রিপোর্ট যা এই মাসের শুরুতে প্রকাশিত হয়েছিল (TALOS-2019-0782), যার লেখক - সিসকো আমব্রেলা থেকে পিটার অ্যাডকিন্সের আবিষ্কারের জন্য ধন্যবাদ - রিপোর্ট করেছেন যে জনপ্রিয় আলপাইন কন্টেইনার বিতরণের সাথে ডকার চিত্রগুলির একটি রুট পাসওয়ার্ড নেই:

"আলপাইন লিনাক্স ডকার ইমেজের অফিসিয়াল সংস্করণে (v3.3 থেকে) রুট ব্যবহারকারীর জন্য একটি NULL পাসওয়ার্ড রয়েছে। এই দুর্বলতা ডিসেম্বর 2015 এ প্রবর্তিত একটি রিগ্রেশনের ফলে। এর সারমর্ম হল যে একটি পাত্রে আল্পাইন লিনাক্সের সমস্যাযুক্ত সংস্করণের সাথে স্থাপন করা সিস্টেম এবং Linux PAM বা অন্য একটি পদ্ধতি যা প্রমাণীকরণ ডাটাবেস হিসাবে সিস্টেম শ্যাডো ফাইল ব্যবহার করে রুট ব্যবহারকারীর জন্য একটি NULL পাসওয়ার্ড গ্রহণ করতে পারে।"

সমস্যাটির জন্য পরীক্ষিত আলপাইন সহ ডকার ইমেজগুলির সংস্করণগুলি ছিল 3.3–3.9 সহ, সেইসাথে প্রান্তের সর্বশেষ প্রকাশ।

লেখক প্রভাবিত ব্যবহারকারীদের জন্য নিম্নলিখিত সুপারিশ করেছেন:

"আল্পাইনের সমস্যাযুক্ত সংস্করণ থেকে নির্মিত ডকার চিত্রগুলিতে রুট অ্যাকাউন্টটি স্পষ্টভাবে নিষ্ক্রিয় করা আবশ্যক৷ দুর্বলতার সম্ভাব্য শোষণ পরিবেশের উপর নির্ভর করে, যেহেতু এর সাফল্যের জন্য লিনাক্স পিএএম বা অন্যান্য অনুরূপ প্রক্রিয়া ব্যবহার করে একটি বাহ্যিকভাবে ফরোয়ার্ড করা পরিষেবা বা অ্যাপ্লিকেশন প্রয়োজন।"

সমস্যা ছিল নির্মূল আলপাইন সংস্করণ 3.6.5, 3.7.3, 3.8.4, 3.9.2 এবং প্রান্তে (20190228 স্ন্যাপশট), এবং প্রভাবিত চিত্রগুলির মালিকদের রুট ইন সহ লাইনটি মন্তব্য করতে বলা হয়েছিল /etc/shadow অথবা প্যাকেজ অনুপস্থিত নিশ্চিত করুন linux-pam.

ডকার হাবের সাথে চলতে থাকে

জেরি গ্যাম্বলিন "পাত্রে শূন্য পাসওয়ার্ড ব্যবহার করার অভ্যাস কতটা সাধারণ হতে পারে" সে সম্পর্কে কৌতূহলী হওয়ার সিদ্ধান্ত নিয়েছে৷ এই উদ্দেশ্যে তিনি একটি ছোট লিখেছেন ব্যাশ স্ক্রিপ্ট, যার সারমর্মটি খুব সহজ:

• ডকার হাবে API-তে একটি কার্ল অনুরোধের মাধ্যমে, সেখানে হোস্ট করা ডকার চিত্রগুলির একটি তালিকা অনুরোধ করা হয়েছে;
• jq এর মাধ্যমে এটি ক্ষেত্র অনুসারে সাজানো হয় popularity, এবং প্রাপ্ত ফলাফল থেকে, প্রথম হাজার অবশিষ্ট আছে;
• তাদের প্রত্যেকের জন্য এটা পূর্ণ হয় docker pull;
• ডকার হাব থেকে প্রাপ্ত প্রতিটি চিত্রের জন্য কার্যকর করা হয় docker run ফাইল থেকে প্রথম লাইন পড়ার সাথে /etc/shadow;
• যদি স্ট্রিংয়ের মান সমান হয় root:::0:::::, ছবির নাম একটি পৃথক ফাইলে সংরক্ষিত হয়।

কি হলো? ভিতরে এই নথি লিনাক্স সিস্টেমের সাথে জনপ্রিয় ডকার ইমেজের নামের সাথে 194টি লাইন ছিল, যেখানে রুট ব্যবহারকারীর পাসওয়ার্ড সেট নেই:

“এই তালিকায় সর্বাধিক পরিচিত নামগুলির মধ্যে ছিল govuk/governmentpaas, hashicorp, microsoft, monsanto এবং mesosphere. এবং kylemanna/openvpn হল তালিকার সবচেয়ে জনপ্রিয় কন্টেইনার, এর পরিসংখ্যান মোট 10 মিলিয়নেরও বেশি পুল।"

এটি মনে রাখার মতো, তবে, এই ঘটনাটি নিজেই সেগুলি ব্যবহার করে এমন সিস্টেমগুলির সুরক্ষার ক্ষেত্রে সরাসরি দুর্বলতা বোঝায় না: এটি কীভাবে সেগুলি ব্যবহার করা হয় তার উপর নির্ভর করে (উপরের আলপাইন কেস থেকে মন্তব্য দেখুন). যাইহোক, আমরা "গল্পের নৈতিকতা" অনেকবার দেখেছি: আপাত সরলতার প্রায়শই একটি নেতিবাচক দিক থাকে, যা সর্বদা মনে রাখতে হবে এবং এর ফলাফলগুলি আপনার প্রযুক্তি প্রয়োগের পরিস্থিতিতে বিবেচনা করা উচিত।

দ্রষ্টব্য

আমাদের ব্লগেও পড়ুন:

• «ডকার হাবের চিত্রগুলিতে অন্তর্নিহিত অপারেটিং সিস্টেমের পরিসংখ্যান";
• «নিরাপত্তা-চাহিদার পরিবেশে ডকার এবং কুবারনেটস";
• «Runc-এ দুর্বলতা CVE-2019-5736, যা আপনাকে হোস্টে রুট অধিকার লাভ করতে দেয়";
• «দুর্বল ডকার ভিএম - ডকার এবং পেন্টেস্টিংয়ের জন্য ভার্চুয়াল ধাঁধা».

উত্স: www.habr.com