{"id":34141,"date":"2019-10-31T21:56:37","date_gmt":"2019-10-31T18:56:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root\/"},"modified":"2019-10-31T21:56:37","modified_gmt":"2019-10-31T18:56:37","slug":"v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","title":{"rendered":"19 % af de mest popul\u00e6re Docker-billeder mangler root-adgangskode","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I l\u00f8rdags den 18. maj, kontrollerede Jerry Gamblin fra Kenna Security kontrollerede<\/a><\/noindex> 1000 af de mest popul\u00e6re billeder fra Docker Hub for at se, hvilket password der blev brugt til root-brugeren. I 19% af tilf\u00e6ldene var det tomt.<\/p>\n

\"19<\/a><\/noindex><\/p>\n

Baggrund om Alpine<\/h2>\n

\nAnledningen til den gennemf\u00f8rte mini-unders\u00f8gelse var en nyudgivet Talos Vulnerability Report (TALOS-2019-0782<\/a><\/noindex>), hvor forfatterne \u2014 takket v\u00e6re opdagelsen fra Peter Adkins fra Cisco Umbrella \u2014 rapporterede, at Docker-billeder med den popul\u00e6re distribution Alpine ikke har noget root-password:<\/p>\n

\u00abOfficielle versioner af Docker-billeder af Alpine Linux (fra v3.3) indeholder NULL-password til root-brugeren. Denne s\u00e5rbarhed opstod p\u00e5 grund af en regression, der blev introduceret i december 2015. Problemet er, at systemer, der er implementeret med problematiske versioner af Alpine Linux i containere og bruger Linux PAM eller en anden mekanisme, der anvender systemfilen shadow som databasen til autentificering, kan acceptere et null (NULL) password for root-brugeren\u00bb.<\/p><\/blockquote>\n

\nDe unders\u00f8gte Docker-billeder med Alpine, der var ber\u00f8rt af problemet, var versioner 3.3\u20143.9 inklusive, samt den nyeste udgave edge.<\/p>\n

Forfatterne gav f\u00f8lgende anbefaling til brugere, der er ber\u00f8rt af problemet:<\/p>\n

\u00abRoot-kontoen b\u00f8r v\u00e6re eksplicit deaktiveret i Docker-billeder, der er bygget p\u00e5 problematiske versioner af Alpine. Den sandsynlige udnyttelse af s\u00e5rbarheden afh\u00e6nger af milj\u00f8et, da dens succes kr\u00e6ver, at der er en offentlig tilg\u00e6ngelig tjeneste eller applikation, der bruger Linux PAM eller en lignende mekanisme\u00bb.<\/p><\/blockquote>\n

\nProblemet var er blevet l\u00f8st<\/a><\/noindex> i Alpine versionerne 3.6.5, 3.7.3, 3.8.4, 3.9.2 og edge (20190228 snapshot), og ejere af ber\u00f8rte billeder blev anbefalet at kommentere linjen med root i \/etc\/shadow<\/code> eller sikre sig, at pakken linux-pam<\/code>.<\/p>\n

Forts\u00e6ttelse fra Docker Hub<\/h2>\n

\nJerry Gamblin besluttede at unders\u00f8ge, \u00abhvor udbredt praksis med at bruge null-passwords i containere kunne v\u00e6re\u00bb. Til dette form\u00e5l skrev han et lille Bash-script<\/a><\/noindex>, hvor essensen er ganske simpel:<\/p>\n