Docker-Images von Alpine wurden mit einem leeren Root-Benutzerpasswort ausgeliefert.

Sicherheitsforscher von Cisco entdeckten Information über die Sicherheitsanfälligkeit (CVE-2019-5021) in Builds der Alpine-Distribution für das Containerisolation-System Docker. Das zugrunde liegende Problem besteht darin, dass für den Benutzer root standardmäßig ein leeres Passwort ohne Sperrung des direkten Zugriffs unter root festgelegt wurde. Beachten Sie, dass Alpine zur Erstellung der offiziellen Images des Docker-Projekts verwendet wird (frühere offizielle Builds basierten auf Ubuntu, wurden dann aber wurden auf Alpine).

Das Problem tritt seit der Alpine Docker Version 3.3 auf und wurde durch eine rückläufige Änderung verursacht, die 2015 eingeführt wurde (vor Version 3.3 wurde im /etc/shadow die Zeile „root:!::0:::::“ verwendet, und danach, aufgrund der Einstellung der Verwendung des Flags „-d“, wurde die Zeile „root:::0:::::“ hinzugefügt). Das Problem wurde ursprünglich erkannt und wurde behoben im November 2015, aber im Dezember versehentlich erneut tauchte in die Build-Dateien des experimentellen Zweigs eingeführt und wurde dann in stabile Builds übertragen.

In den Informationen zur Sicherheitsanfälligkeit wird angegeben, dass das Problem auch in der neuesten Version von Alpine Docker 3.9 auftritt. Die Entwickler von Alpine haben im März veröffentlicht eine Korrektur und die Sicherheitsanfälligkeit wurde nicht mehr festgestellt. Ab den Versionen 3.9.2, 3.8.4, 3.7.3 und 3.6.5 bleibt die Unterstützung für die älteren Zweige 3.4.x und 3.5.x, deren Support bereits eingestellt wurde. Darüber hinaus geben die Entwickler an, dass der Angriffsvektor stark eingeschränkt ist und es erfordert, dass der Angreifer Zugriff auf dieselbe Infrastruktur hat.

Quelle: opennet.ru