{"id":34141,"date":"2019-10-31T21:56:37","date_gmt":"2019-10-31T18:56:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root\/"},"modified":"2019-10-31T21:56:37","modified_gmt":"2019-10-31T18:56:37","slug":"v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","title":{"rendered":"En el 19% de las im\u00e1genes de Docker m\u00e1s populares no hay contrase\u00f1a para root","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

El pasado s\u00e1bado 18 de mayo, Jerry Gamblin de Kenna Security verific\u00f3<\/a><\/noindex> 1000 de las im\u00e1genes m\u00e1s populares de Docker Hub en busca de la contrase\u00f1a utilizada para el usuario root. En el 19% de los casos, result\u00f3 ser vac\u00eda.<\/p>\n

\"En<\/a><\/noindex><\/p>\n

Historia de fondo de Alpine<\/h2>\n

\nLa raz\u00f3n para llevar a cabo esta mini-investigaci\u00f3n fue el informe de vulnerabilidad de Talos (TALOS-2019-0782<\/a><\/noindex>), cuyos autores, gracias al descubrimiento de Peter Adkins de Cisco Umbrella, informaron que las im\u00e1genes de Docker con el popular sistema operativo para contenedores Alpine no tienen contrase\u00f1a para root:<\/p>\n

\u00abLas versiones oficiales de las im\u00e1genes de Docker de Alpine Linux (a partir de la v3.3) contienen una contrase\u00f1a NULL para el usuario root. Esta vulnerabilidad surgi\u00f3 como resultado de una regresi\u00f3n presentada en diciembre de 2015. Se trata de que los sistemas desplegados con versiones problem\u00e1ticas de Alpine Linux en contenedores y que utilizan Linux PAM u otro mecanismo que usa el archivo de sistema shadow como base de datos para la autenticaci\u00f3n, pueden aceptar una contrase\u00f1a nula (NULL) para el usuario root\u00bb.<\/p><\/blockquote>\n

\nLas versiones de im\u00e1genes de Docker con Alpine confirmadas como problem\u00e1ticas abarcaban desde la 3.3 hasta la 3.9 inclusive, adem\u00e1s de la \u00faltima versi\u00f3n edge.<\/p>\n

Los autores ofrecieron la siguiente recomendaci\u00f3n a los usuarios afectados por el problema:<\/p>\n

\u00abLa cuenta root debe ser expl\u00edcitamente desactivada en las im\u00e1genes de Docker construidas sobre versiones problem\u00e1ticas de Alpine. La explotaci\u00f3n probable de esta vulnerabilidad depende del entorno, ya que su \u00e9xito requiere un servicio o aplicaci\u00f3n expuesta que utilice Linux PAM u otro mecanismo similar\u00bb.<\/p><\/blockquote>\n

\nEl problema estaba se solucion\u00f3<\/a><\/noindex> en Alpine versiones 3.6.5, 3.7.3, 3.8.4, 3.9.2 y edge (snapshot de 20190228), y a los poseedores de im\u00e1genes afectadas se les sugiri\u00f3 comentar la l\u00ednea con root en \/etc\/shadow<\/code> o asegurarse de que no est\u00e1 presente el paquete linux-pam<\/code>.<\/p>\n

Continuaci\u00f3n desde Docker Hub<\/h2>\n

\nJerry Gamblin decidi\u00f3 investigar \"qu\u00e9 tan com\u00fan podr\u00eda ser la pr\u00e1ctica de usar contrase\u00f1as nulas en contenedores\". Para ello, escribi\u00f3 un peque\u00f1o script de Bash<\/a><\/noindex>, cuya esencia es bastante simple:<\/p>\n