Alpine Docker-Images werden mit einem leeren Root-Passwort ausgeliefert

Cisco-Sicherheitsforscher unbedeckt Informationen zur Sicherheitslücke (CVE-2019-5021) in Versammlungen Alpine Distribution für das Docker-Container-Isolationssystem. Der Kern des identifizierten Problems besteht darin, dass das Standardkennwort für den Root-Benutzer auf ein leeres Kennwort gesetzt wurde, ohne die direkte Anmeldung als Root zu blockieren. Denken Sie daran, dass Alpine zum Generieren offizieller Images aus dem Docker-Projekt verwendet wird (früher basierten offizielle Builds auf Ubuntu, aber dann gab es solche). übersetzt auf Alpine).

Das Problem besteht seit dem Build von Alpine Docker 3.3 und wurde durch eine 2015 hinzugefügte Regressionsänderung verursacht (vor Version 3.3 verwendete /etc/shadow die Zeile „root:!::0:::::“, und danach Abschaffung des Flags „-d“ Die Zeile „root:::0:::::“) wurde hinzugefügt. Das Problem wurde zunächst erkannt und Fest im November 2015, aber im Dezember aus Versehen erneut aufgetaucht in den Build-Dateien des experimentellen Zweigs und wurde dann in stabile Builds übertragen.

Den Informationen zur Schwachstelle zufolge tritt das Problem auch im neuesten Zweig von Alpine Docker 3.9 auf. Alpine-Entwickler im März freigegeben Patch und Schwachstelle erscheint nicht Beginnend mit den Builds 3.9.2, 3.8.4, 3.7.3 und 3.6.5, bleibt aber bei den alten Zweigen 3.4.x und 3.5.x, die bereits eingestellt wurden. Darüber hinaus behaupten die Entwickler, dass der Angriffsvektor sehr begrenzt sei und der Angreifer Zugriff auf dieselbe Infrastruktur voraussetze.

Source: opennet.ru