ডকার কন্টেইনার ছবির জন্য নিরাপত্তা স্ক্যানারে দুর্বলতা

প্রকাশিত হয়েছে বিচ্ছিন্ন ডকার কন্টেইনার ইমেজগুলিতে আনপ্যাচড দুর্বলতা সনাক্ত করতে এবং নিরাপত্তা সমস্যাগুলি সনাক্ত করতে পরীক্ষার সরঞ্জামগুলির ফলাফল। অডিট দেখায় যে 4টি পরিচিত ডকার ইমেজ স্ক্যানারের মধ্যে 6টিতে গুরুতর দুর্বলতা রয়েছে যা স্ক্যানারকে সরাসরি আক্রমণ করা এবং সিস্টেমে এর কোড কার্যকর করা সম্ভব করে তোলে, কিছু ক্ষেত্রে (উদাহরণস্বরূপ, যখন Snyk ব্যবহার করা হয়) রুট অধিকার সহ।

আক্রমণ করার জন্য, একজন আক্রমণকারীকে কেবল তার Dockerfile বা manifest.json-এর একটি চেক শুরু করতে হবে, যার মধ্যে বিশেষভাবে ডিজাইন করা মেটাডেটা রয়েছে, অথবা চিত্রের ভিতরে Podfile এবং gradlew ফাইলগুলি স্থাপন করতে হবে। প্রোটোটাইপ শোষণ প্রস্তুত করতে পরিচালিত সিস্টেমের জন্য
হোয়াইটসোর্স, স্নিক,
খানা и
নোঙ্গর. প্যাকেজ সেরা নিরাপত্তা দেখিয়েছে ক্লেয়ার, মূলত নিরাপত্তার কথা মাথায় রেখে লেখা। প্যাকেজেও কোনো সমস্যা চিহ্নিত করা হয়নি। ট্রিভি. ফলস্বরূপ, এটি উপসংহারে পৌঁছেছিল যে ডকার কন্টেইনার স্ক্যানারগুলি বিচ্ছিন্ন পরিবেশে চালানো উচিত বা শুধুমাত্র তাদের নিজস্ব চিত্রগুলি পরীক্ষা করার জন্য ব্যবহার করা উচিত এবং এই ধরনের সরঞ্জামগুলিকে স্বয়ংক্রিয় অবিচ্ছিন্ন ইন্টিগ্রেশন সিস্টেমের সাথে সংযুক্ত করার সময় সতর্কতা অবলম্বন করা উচিত।

FOSSA, Snyk এবং WhiteSource-এ, দুর্বলতা নির্ভরতা নির্ধারণের জন্য একটি বাহ্যিক প্যাকেজ ম্যানেজারকে কল করার সাথে যুক্ত ছিল এবং ফাইলগুলিতে স্পর্শ এবং সিস্টেম কমান্ড উল্লেখ করে আপনাকে আপনার কোড কার্যকর করার ব্যবস্থা করার অনুমতি দেয়। gradlew и পডফাইল.

Snyk এবং হোয়াইটসোর্স অতিরিক্ত ছিল পাওয়া গেছে দুর্বলতা, সম্পর্কিত ডকারফাইল পার্স করার সময় সিস্টেম কমান্ড চালু করার সংস্থার সাথে (উদাহরণস্বরূপ, Snyk-এ, ডকফাইলের মাধ্যমে, স্ক্যানার দ্বারা ডাকা /bin/ls ইউটিলিটি প্রতিস্থাপন করা সম্ভব ছিল, এবং WhiteSurce-এ, আর্গুমেন্টের মাধ্যমে কোড প্রতিস্থাপন করা সম্ভব ছিল ফর্ম “ইকো';touch /tmp/hacked_whitesource_pip;=1.0 ′")।

অ্যাঙ্কর দুর্বলতা বলা হয় ইউটিলিটি ব্যবহার করে স্কোপিও ডকার ইমেজ সঙ্গে কাজ করার জন্য. manifest.json ফাইলে '"os": "$(touch hacked_anchore)"'-এর মতো পরামিতি যোগ করার জন্য অপারেশনটি ফুটে উঠেছে, যা সঠিকভাবে পালিয়ে না গিয়ে স্কোপিওকে কল করার সময় প্রতিস্থাপিত হয় (শুধুমাত্র ";&<>" অক্ষরগুলি কাটা হয়েছিল, কিন্তু নির্মাণ "$( )")।

একই লেখক ডকার কন্টেইনার সিকিউরিটি স্ক্যানার ব্যবহার করে আনপ্যাচড দুর্বলতা সনাক্ত করার কার্যকারিতা এবং মিথ্যা ইতিবাচক স্তরের (অংশ 1, অংশ 2, অংশ 3) নিচে 73টি ছবি পরীক্ষা করার ফলাফল রয়েছে যেখানে পরিচিত দুর্বলতা রয়েছে এবং ইমেজগুলিতে সাধারণ অ্যাপ্লিকেশনের উপস্থিতি নির্ধারণের কার্যকারিতা মূল্যায়ন করা হয়েছে (nginx, tomcat, haproxy, gunicorn, redis, ruby, node)।

উত্স: opennet.ru