Vulnerabilidades en escáneres de seguridad para imágenes de contenedores Docker

Publicado resultados de las pruebas de herramientas para detectar vulnerabilidades no corregidas y problemas de seguridad en imágenes de contenedores aislados de Docker. La verificación mostró que en 4 de 6 escáneres de imágenes de Docker conocidos había vulnerabilidades críticas que permitían atacar directamente al escáner y lograr la ejecución de su código en el sistema, en algunos casos (por ejemplo, al usar Snyk) con privilegios de root.

Para llevar a cabo el ataque, el atacante solo necesita iniciar una verificación de su Dockerfile o manifest.json, que incluya metadatos especialmente diseñados, o colocar archivos Podfile y gradlew dentro de la imagen. Se prepararon prototipos de exploits para sistemas Fossa
WhiteSource, Snyk,
. El paquete que mostró la mejor seguridad fue y
Anchore, diseñado originalmente con un enfoque en la seguridad. No se detectaron problemas en el paquete Clair. En conclusión, se llegó a la recomendación de que los escáneres de contenedores de Docker deben ejecutarse en entornos aislados o utilizarse solo para verificar sus propias imágenes, y tener precaución al conectar estas herramientas a sistemas automatizados de integración continua. TrivyEn FOSSA, Snyk y WhiteSource, la vulnerabilidad estaba relacionada con la llamada a un gestor de paquetes externo para determinar las dependencias y permitía organizar la ejecución de su código a través de los comandos touch y system en los archivos

gradlew Podfile y En Snyk y WhiteSource también se.

encontraron con la organización de la ejecución de comandos del sistema al analizar el Dockerfile (por ejemplo, en Snyk a través del Dockerfile se podía reemplazar la utilidad /bin/ls que el escáner llama, y en WhiteSource se podía inyectar código a través de argumentos en la forma «echo ‘;touch /tmp/hacked_whitesource_pip;=1.0’»). una vulnerabilidad, relacionados En Anchore, la vulnerabilidad

fue provocada por el uso de la utilidad skopeo para trabajar con imágenes de docker. La explotación consistía en agregar al archivo manifest.json parámetros como ‘»os»: «$(touch hacked_anchore)»‘, que se inyectan al llamar a skopeo sin el adecuado escape (solo se eliminaban los caracteres «;&», pero se permitía la construcción «$()»). El mismo autor realizó un estudio sobre la eficacia de detección de vulnerabilidades no corregidas por parte de los escáneres de seguridad de contenedores de docker y el nivel de falsos positivos (

El mismo autor llevó a cabo un estudio sobre la efectividad de la detección de vulnerabilidades no corregidas por escáneres de seguridad de contenedores Docker y el nivel de falsos positivos (parte 1, parte 2, parte 3). A continuación se muestran los resultados de las pruebas de 73 imágenes que contienen vulnerabilidades conocidas, así como una evaluación de la efectividad para detectar aplicaciones estándar en las imágenes (nginx, tomcat, haproxy, gunicorn, redis, ruby, node).

Fuente: opennet.ru