Docker-pildid Alpine jaotati tühja root kasutaja parooliga.

Turvalisuuringute spetsialistid ettevõttest Cisco avaldasid teave haavatavuse (CVE-2019-5021) kohta versioonides Alpine distributsioon Docker konteinerite isoleerimise süsteemile. Tuvastatud probleem seisneb selles, et kasutaja root jaoks oli vaikesätetena määratud tühi parool ilma otse juurdepääsu blokeerimiseta. Meenutame, et Alpine'i kasutatakse Docker projekti ametlike piltide loomiseks (varem põhinesid ametlikud versioonid Ubuntu'l, kuid hiljem viidi üle Alpine'ile).

Probleem ilmneb alates Alpine Docker versioonist 3.3 ja selle põhjustas tagasiminek, mis lisati 2015. aastal (enne versiooni 3.3 kasutati /etc/shadow failis rida „root:!::0:::::”, kuid hiljem lõpetati -d lipu kasutamine, mistõttu lisati rida „root:::0:::::”). Probleem tuvastati algselt parandatud 2015. aasta novembris, kuid detsembris kantakse see kogemata tagasi ilmnes katsetamise haru versioonifailidesse ja hiljem viidi see stabiilsetesse versioonidesse.

Teabetes haavatavuse kohta on märgitud, et probleem ilmneb ka Alpine Docker versioonis 3.9. Alpine arendajad parandasid arendajad muusikateenusest Spotify. Muudetud Spotify Lite näeb välja nagu täisversioon, kuid on ilma paljusid seadeid ja ei luba salvestada lugusid kuulamiseks ilma internetiühenduseta. haavatavuse ja see ei ilmne versioonides 3.9.2, 3.8.4, 3.7.3 ja 3.6.5, kuid jääb endiselt vanadesse harudesse 3.4.x ja 3.5.x, mille toetamine on juba lõpetatud. Lisaks väidavad arendajad, et rünnakuks vajalikud võimalused on tugevalt piiratud ja nõuavad ründajalt juurdepääsu samasse infrastruktuuri.

Allikas: opennet.ru