একটি ফাঁকা রুট পাসওয়ার্ড দিয়ে আল্পাইন ডকার ছবি পাঠানো হয়েছে

সিসকো নিরাপত্তা গবেষক অনাবৃত দুর্বলতার তথ্য (CVE-2019-5021) ইন সমাবেশগুলি ডকার কন্টেইনার আইসোলেশন সিস্টেমের জন্য আলপাইন বিতরণ। চিহ্নিত সমস্যার সারমর্ম হল যে রুট ব্যবহারকারীর জন্য ডিফল্ট পাসওয়ার্ড রুট হিসাবে সরাসরি লগইন ব্লক না করে একটি খালি পাসওয়ার্ড সেট করা হয়েছিল। আসুন মনে রাখবেন যে আলপাইন ডকার প্রকল্প থেকে অফিসিয়াল ইমেজ তৈরি করতে ব্যবহার করা হয় (আগে অফিসিয়াল বিল্ডগুলি উবুন্টুর উপর ভিত্তি করে ছিল, কিন্তু তারপর ছিল অনূদিত আল্পাইনে)।

Alpine Docker 3.3 বিল্ডের পর থেকে সমস্যাটি উপস্থিত রয়েছে এবং 2015 সালে যোগ করা রিগ্রেশন পরিবর্তনের কারণে ঘটেছে (সংস্করণ 3.3 এর আগে, /etc/shadow "root:!::0::::::", এবং পরে পতাকা "-d" এর অবচয়ন "root:::0:::::" লাইন যোগ করা শুরু করে। সমস্যাটি প্রাথমিকভাবে চিহ্নিত করা হয়েছিল এবং স্থির নভেম্বর 2015 সালে, কিন্তু ডিসেম্বরে আবার ভুল করে প্রকাশিত পরীক্ষামূলক শাখার বিল্ড ফাইলগুলিতে, এবং তারপরে স্থিতিশীল বিল্ডগুলিতে স্থানান্তরিত হয়েছিল।

দুর্বলতার তথ্যে বলা হয়েছে যে সমস্যাটি Alpine Docker 3.9-এর সর্বশেষ শাখায়ও দেখা যাচ্ছে। মার্চে আলপাইন ডেভেলপাররা মুক্তি পেয়েছে প্যাচ এবং দুর্বলতা প্রদর্শিত হবে না বিল্ড 3.9.2, 3.8.4, 3.7.3 এবং 3.6.5 দিয়ে শুরু, কিন্তু পুরানো শাখা 3.4.x এবং 3.5.x-এ রয়ে গেছে, যা ইতিমধ্যে বন্ধ করা হয়েছে। উপরন্তু, বিকাশকারীরা দাবি করেন যে আক্রমণের ভেক্টর খুবই সীমিত এবং আক্রমণকারীর একই পরিকাঠামোতে অ্যাক্সেস থাকা প্রয়োজন।

উত্স: opennet.ru