শীর্ষ 19.4 ডকার কন্টেনারগুলির 1000% একটি খালি রুট পাসওয়ার্ড ধারণ করে

জেরি গ্যাম্বলিন নতুন চিহ্নিত কতটা ব্যাপক তা খুঁজে বের করার সিদ্ধান্ত নিয়েছে সমস্যা আল্পাইন ডিস্ট্রিবিউশনের ডকার ইমেজে, রুট ব্যবহারকারীর জন্য একটি খালি পাসওয়ার্ড নির্দিষ্ট করার সাথে যুক্ত। ডকার হাব ক্যাটালগ থেকে হাজার হাজার জনপ্রিয় পাত্রের বিশ্লেষণ দেখিয়েছি, কি ভেতরে 194 এর মধ্যে (19.4%) অ্যাকাউন্ট লক না করেই রুটের জন্য একটি খালি পাসওয়ার্ড সেট করা হয়েছে ("root:!::0:::::" এর পরিবর্তে "root:::0:::::")।

যদি ধারকটি ছায়া এবং linux-pam প্যাকেজ ব্যবহার করে, তাহলে একটি খালি রুট পাসওয়ার্ড ব্যবহার করুন এটা করতে পারবেন কন্টেইনারে আপনার সুবিধাবহির্ভূত অ্যাক্সেস থাকলে বা কনটেইনারে চলমান কোনো সুবিধাবিহীন পরিষেবার দুর্বলতাকে কাজে লাগানোর পরে আপনার সুবিধাগুলি কন্টেইনারের ভিতরে বাড়িয়ে দিন। আপনি রুট অধিকার সহ কন্টেইনারের সাথে সংযোগ করতে পারেন যদি আপনার অবকাঠামোতে অ্যাক্সেস থাকে, যেমন /etc/securetty তালিকায় উল্লেখিত TTY-তে টার্মিনালের মাধ্যমে সংযোগ করার ক্ষমতা। একটি ফাঁকা পাসওয়ার্ড দিয়ে লগইন SSH এর মাধ্যমে ব্লক করা হয়েছে।

মধ্যে সবচেয়ে জনপ্রিয় খালি রুট পাসওয়ার্ড সহ পাত্রে হয় microsoft/azure-cli, কাইলেমান্না/ওপেনভিপিএন, governmentpaas/s3-সম্পদ, phpmyadmin/phpmyadmin, mesosphere/aws-cli и hashicorp/terraform, যার 10 মিলিয়নেরও বেশি ডাউনলোড হয়েছে৷ পাত্রে হাইলাইট করা হয়
govuk/gemstash-alpine (500 হাজার), monsantoco/logstash (5 মিলিয়ন),
অ্যাভহোস্ট/ডকার-ম্যাট্রিক্স-দাঙ্গা (1 মিলিয়ন),
azuresdk/azure-cli-python (০.৭ মিলিয়ন)
и ciscocloud/haproxy-consul (1 মিলিয়ন). এই কন্টেইনারগুলির প্রায় সবকটিই আল্পাইনের উপর ভিত্তি করে এবং ছায়া এবং লিনাক্স-পাম প্যাকেজ ব্যবহার করে না। একমাত্র ব্যতিক্রম মাইক্রোসফ্ট/অ্যাজুর-ক্লাই ডেবিয়ানের উপর ভিত্তি করে।

উত্স: opennet.ru