Testergebnisse von Tools zur Identifizierung nicht behobener Schwachstellen und zur Aufdeckung von Sicherheitsproblemen in isolierten Docker-Container-Images. Die Überprüfung ergab, dass in 4 von 6 bekannten Docker-Image-Scannern kritische Schwachstellen vorhanden sind, die es ermöglichen, den Scanner selbst anzugreifen und die Ausführung eigenen Codes im System zu erreichen, in einigen Fällen (zum Beispiel bei der Verwendung von Snyk) mit Root-Rechten.
Für einen Angriff genügt es, wenn der Angreifer eine Überprüfung seiner Dockerfile oder manifest.json initiiert, die speziell gestaltete Metadaten enthält, oder Dateien wie Podfile und gradlew innerhalb des Images platziert. Prototypen von Exploits für Systeme
, ,
und
. Das sicherste Paket war , das ursprünglich mit dem Fokus auf Sicherheit entwickelt wurde. In dem Paket . Insgesamt wurde festgestellt, dass Docker-Container-Scanner in isolierten Umgebungen betrieben oder nur zur Überprüfung eigener Images verwendet werden sollten. Außerdem ist Vorsicht geboten, wenn solche Tools mit automatisierten Continuous Integration-Systemen verbunden werden.
In FOSSA, Snyk und WhiteSource war die Schwachstelle mit dem Aufruf eines externen Paketmanagers zur Bestimmung von Abhängigkeiten verbunden und erlaubte das Ausführen eigenen Codes durch die Angabe von Befehlen wie touch und system in Dateien. und .
In Snyk und WhiteSource wurden zudem , einschließlich der Organisation der Ausführung von Systembefehlen beim Parsen von Dockerfiles (zum Beispiel konnte in Snyk die Utility /bin/ls, die vom Scanner aufgerufen wurde, ersetzt werden, und in WhiteSource konnte über Argumente in der Form "echo ‘;touch /tmp/hacked_whitesource_pip;=1.0'" Code eingefügt werden).
In Anchore war die Schwachstelle die Verwendung des Tools zur Bearbeitung von Docker-Images. Die Ausnutzung beschränkte sich darauf, Parameter der Art ‘"os": "$(touch hacked_anchore)"‘ in die manifest.json-Datei einzufügen, die beim Aufruf von skopeo ohne angemessene Escapierung übernommen werden (nur die Zeichen «;&» wurden entfernt, aber die Konstruktion „$()“ wurde zugelassen).
Der gleiche Autor hat eine Studie zur Effektivität der Erkennung von nicht behobenen Sicherheitsanfälligkeiten durch Sicherheits-Scanner von Docker-Containern sowie zur Rate an Fehlalarmen durchgeführt (, , ). Im Folgenden sind die Testergebnisse von 73 Images aufgeführt, die bekannte Sicherheitsanfälligkeiten enthalten, sowie eine Bewertung der Effektivität bei der Erkennung typischer Anwendungen in den Images (nginx, tomcat, haproxy, gunicorn, redis, ruby, node).
Quelle: opennet.ru
