Alpine Docker-billeder leveres med en tom root-adgangskode

Cisco sikkerhedsforskere afdækket sårbarhedsoplysninger (CVE-2019-5021) i forsamlinger Alpine distribution til Docker container isolation system. Essensen af ​​det identificerede problem er, at standardadgangskoden for root-brugeren blev sat til en tom adgangskode uden at blokere direkte login som root. Lad os huske, at Alpine bruges til at generere officielle billeder fra Docker-projektet (tidligere var officielle builds baseret på Ubuntu, men så var der oversat på alpine).

Problemet har været til stede siden Alpine Docker 3.3 build og var forårsaget af en regressionsændring tilføjet i 2015 (før version 3.3 brugte /etc/shadow linjen "root:!::0:::::", og efter afskrivning af flag "-d" linjen "root:::0:::::" begyndte at blive tilføjet. Problemet blev oprindeligt identificeret og fast i november 2015, men i december ved en fejl igen dukket op i byggefilerne i forsøgsgrenen og blev derefter overført til stabile builds.

Sårbarhedsoplysningerne angiver, at problemet også optræder i den seneste gren af ​​Alpine Docker 3.9. Alpine udviklere i marts frigivet patch og sårbarhed vises ikke starter med builds 3.9.2, 3.8.4, 3.7.3 og 3.6.5, men forbliver i de gamle grene 3.4.x og 3.5.x, som allerede er udgået. Derudover hævder udviklerne, at angrebsvektoren er meget begrænset og kræver, at angriberen har adgang til den samme infrastruktur.

Kilde: opennet.ru