Dockeri konteinerpiltide turvaskannerite haavatavused

Avaldatud testimistööriistade tulemused, et tuvastada parandamata haavatavused ja tuvastada turvaprobleemid isoleeritud Dockeri konteineri kujutistes. Audit näitas, et 4-st teadaolevast Dockeri pildiskannerist 6 sisaldasid kriitilisi turvaauke, mis võimaldasid rünnata otse skannerit ennast ja saavutada selle koodi täitmine süsteemis, mõnel juhul (näiteks Snyki kasutamisel) juurõigustega.

Rünnakuks peab ründaja lihtsalt käivitama oma Dockerfile'i või manifest.jsoni kontrolli, mis sisaldab spetsiaalselt loodud metaandmeid, või paigutama Podfile'i ja gradlew-failid pildi sisse. Kasutage prototüüpe õnnestus ette valmistada süsteemide jaoks
Valge allikas, Snyk,
Fossa и
Ankur. Pakett näitas parimat turvalisust selge, algselt kirjutatud turvalisust silmas pidades. Ka pakis ei tuvastatud probleeme. Trivy. Selle tulemusena jõuti järeldusele, et Dockeri konteinerskannereid tuleks kasutada isoleeritud keskkondades või kasutada ainult nende enda piltide kontrollimiseks ning selliste tööriistade ühendamisel automatiseeritud pideva integratsioonisüsteemidega tuleks olla ettevaatlik.

FOSSA, Snyk ja WhiteSource puhul seostati haavatavust välise paketihalduri helistamisega, et määrata kindlaks sõltuvused ja mis võimaldas teil koodi täitmist korraldada, määrates failides puute- ja süsteemikäsud. gradlew и Podfile.

Snykil ja WhiteSource'il oli lisaks leitud haavatavused, seotud süsteemikäskude käivitamise korraldamisega Dockerfile'i parsimisel (näiteks Snykis oli Dockfile'i kaudu võimalik asendada skanneri kutsutud utiliit /bin/ls ja WhiteSurce'is oli võimalik koodi asendada argumentide kaudu kujul "echo ';touch /tmp/hacked_whitesource_pip;=1.0").

Ankru haavatavus kutsuti utiliidi kasutades skopeo Dockeri piltidega töötamiseks. Toiming taandus parameetrite (nt '"os": "$(touch hacked_anchore)"' lisamisele manifest.json-faili, mis asendatakse skopeo kutsumisel ilma korraliku põgenemiseta (välja lõigati ainult ";&<>" märgid, kuid konstruktsioon "$( )").

Sama autor viis läbi uuringu paikamata turvaaukude tuvastamise tõhususe kohta Dockeri konteineri turvaskannerite abil ja valepositiivsete tulemuste taseme kohta (Osa 1, Osa 2, Osa 3). Allpool on 73 teadaolevaid turvaauke sisaldava pildi testimise tulemused ja hinnatakse ka piltidel tüüpiliste rakenduste (nginx, tomcat, haproxy, gunicorn, redis, ruby, node) olemasolu määramise tõhusust.

Allikas: opennet.ru