Ang mga imahe sa Alpine Docker nga gipadala nga adunay blangko nga password sa ugat

Mga Tigdukiduki sa Cisco Security walay tabon impormasyon sa kahuyang (CVE-2019-5021) sa mga asembliya Alpine distribution para sa Docker container isolation system. Ang esensya sa nahibal-an nga problema mao nga ang default nga password alang sa gamut nga tiggamit gibutang sa usa ka walay sulod nga password nga wala gibabagan ang direkta nga pag-login ingon gamut. Atong hinumdoman nga ang Alpine gigamit sa paghimo og opisyal nga mga hulagway gikan sa Docker nga proyekto (kaniadto opisyal nga mga pagtukod gibase sa Ubuntu, apan unya adunay gihubad sa Alpine).

Ang problema naa na sukad sa pagtukod sa Alpine Docker 3.3 ug gipahinabo sa pagbag-o sa pagbag-o nga gidugang kaniadtong 2015 (sa wala pa ang bersyon 3.3, /etc/shadow gigamit ang linya nga "gamut:!:: 0:::::", ug pagkahuman sa pagwagtang sa bandila "-d" ang linya nga "gamut::: 0:::::" nagsugod nga idugang. Ang problema sa sinugdan giila ug naayo sa Nobyembre 2015, apan sa Disyembre sa sayop nga pag-usab nitumaw sa mga file sa pagtukod sa sanga sa eksperimento, ug dayon gibalhin sa mga lig-on nga pagtukod.

Ang kasayuran sa kahuyang nag-ingon nga ang problema makita usab sa pinakabag-o nga sanga sa Alpine Docker 3.9. Alpine developers sa Marso gibuhian patch ug vulnerability dili makita sugod sa pagtukod sa 3.9.2, 3.8.4, 3.7.3 ug 3.6.5, apan nagpabilin sa daan nga mga sanga 3.4.x ug 3.5.x, nga gihunong na. Dugang pa, giangkon sa mga developer nga ang vector sa pag-atake limitado kaayo ug nanginahanglan ang tig-atake nga adunay access sa parehas nga imprastraktura.

Source: opennet.ru