19% populaarseimates Docker-piltides ei ole root'i parooli

Eelmisel laupäeval, 18. mail, kontrollis Jerry Gamblin Kenna Security's sada 1000 kõige populaarsemat Docker Hub'i pilti, et tuvastada kasutaja root parool. 19% juhtudest oli see tühi.

Taustalugu Alpine'ist

Uuringu läbiviimise põhjuseks sai Talos Vulnerability Report, mis ilmus kuu alguses (TALOS-2019-0782), mille autorid — Peter Adkinsi avastuse tõttu Cisco Umbrella's — teatasid, et Docker'iga pildid, mis põhinevad populaarsetel konteinerite jaotustel Alpine, ei oma root kasutaja jaoks parooli:

"Alpine Linux'i ametlikud Docker'i pildid (alates v3.3) sisaldavad NULL-parooli root kasutaja jaoks. See haavatavus tekkis tagasiulatuva vea tõttu, mis esitati 2015. aasta detsembris. Selle olemus seisneb selles, et probleemsete Alpine Linux'i versioonidega konteineris käivitatud süsteemid, mis kasutavad Linux PAM'i või muud mehhanismi, mis kasutab süsteemi faili shadow autentimiseks, võivad aktsepteerida NULL-parooli root kasutaja jaoks."

Probleemseks peetud Alpine Docker'i piltide versioonid olid 3.3—3.9 kaasa arvatud ning ka viimane edge väljalase.

Autorid andsid järgmise soovituse probleemiga kasutajatele:

"Root kasutajakonto tuleks Docker'i piltides, mis on ehitatud probleemsetele Alpine versioonidele, selgelt keelata. Tõenäoline haavatavuse ärakasutamine sõltub keskkonnast, kuna selle edu nõuab teenuse või rakenduse väljastpoolt edastamist, mis kasutab Linux PAM'i või mõnda muud sarnast mehhanismi."

Probleem oli on kõrvaldatud Alpine versioonides 3.6.5, 3.7.3, 3.8.4, 3.9.2 ja edge (20190228 snapshot), ning koos sellega haavatavate piltide omanikele soovitati kommenteerida välja root'i rida /etc/shadow või tagada, et pakki linux-pam.

Jätkamine Docker Hub'is

Jerry Gamblin soovis uurida, "kui levinud võib null-paroolide kasutamine konteinerites olla". Selleks kirjutas ta väikese Bash-skripti, mille eesmärk on väga lihtne:

• curl'i päringuga Docker Hub'i API-le küsitakse loetelu seal asuvatest Docker'i piltidest;
• kasutades jq-d sorteeritakse see popularity välja poolt , ja saadud tulemustest jääb alles esimene tuhat;igaühe jaoks tehakse
• iga Docker Hub'ist saadud pildi jaoks jäetakse docker pull;
• esimese rea lugemine failist docker run kui rea väärtus osutus /etc/shadow;
• root:::0::::: , pildi nimi salvestatakse eraldi faili.Mis siis saadi? Failis

see fail selles failis Selgus, et 194 rida populaarsest Docker-pildikogust Linux-süsteemidega, mille root-kasutajal ei ole seatud parooli:

„Selle loendi kõige tuntumate nimede seas olid govuk/governmentpaas, hashicorp, microsoft, monsanto ja mesosphere. Kuid kylemanna/openvpn on loendi kõige populaarsem konteiner, mille statistikas on üle 10 miljoni pull'i.“

Tuleb siiski meeles pidada, et see nähtus iseenesest ei tähenda otsest haavatavust süsteemide turvalisuses, mida nad kasutavad: kõik sõltub ka sellest, kuidas neid täpselt rakendatakse. (vt ülalolevat Alpine'i kommentaari). Kuid „selle jutu moraal“ on meile juba korduvalt selgunud: näiliselt lihtsusel on sageli ka varjatud külg, millest tuleb alati tähele panna ja mille tagajärgi arvestada tehnoloogia rakendamise stsenaariumides.

P.S.

Lugege ka meie blogist:

• «Statistika põhjalike operatsioonisüsteemide kohta Docker Hubi piltides»;
• «Docker ja Kubernetes turvalisust nõudvates keskkondades»;
• «CVE-2019-5736 haavatavus runcis, mis võimaldab saada root-õigused hostil»;
• «Vulnerable Docker VM — Docker'i ja pentestimise puslemasin».

Allikas: habr.com