Investigadores de seguridad de Cisco información de vulnerabilidad (CVE-2019-5021) en Distribución alpina para el sistema de aislamiento de contenedores Docker. La esencia del problema identificado es que la contraseña predeterminada para el usuario root se estableció en una contraseña vacía sin bloquear el inicio de sesión directo como root. Recordemos que Alpine se utiliza para generar imágenes oficiales del proyecto Docker (antes las builds oficiales se basaban en Ubuntu, pero luego hubo en los Alpes).
El problema ha estado presente desde la compilación de Alpine Docker 3.3 y fue causado por un cambio de regresión agregado en 2015 (antes de la versión 3.3, /etc/shadow usaba la línea "root:!::0:::::", y después de la desaprobación del indicador “-d” se comenzó a agregar la línea “root:::0:::::”. Inicialmente se identificó el problema y en noviembre de 2015, pero en diciembre por error otra vez en los archivos de compilación de la rama experimental y luego se transfirió a compilaciones estables.
La información de vulnerabilidad indica que el problema también aparece en la última rama de Alpine Docker 3.9. Desarrolladores alpinos en marzo parche y vulnerabilidad comenzando con las compilaciones 3.9.2, 3.8.4, 3.7.3 y 3.6.5, pero permanece en las antiguas ramas 3.4.xy 3.5.x, que ya han sido descontinuadas. Además, los desarrolladores afirman que el vector de ataque es muy limitado y requiere que el atacante tenga acceso a la misma infraestructura.
Fuente: opennet.ru