{"id":34141,"date":"2019-10-31T21:56:37","date_gmt":"2019-10-31T18:56:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root\/"},"modified":"2019-10-31T21:56:37","modified_gmt":"2019-10-31T18:56:37","slug":"v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","title":{"rendered":"19% populaarseimates Docker-piltides ei ole root'i parooli","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Eelmisel laup\u00e4eval, 18. mail, kontrollis Jerry Gamblin Kenna Security's sada<\/a><\/noindex> 1000 k\u00f5ige populaarsemat Docker Hub'i pilti, et tuvastada kasutaja root parool. 19% juhtudest oli see t\u00fchi.<\/p>\n

\"19%<\/a><\/noindex><\/p>\n

Taustalugu Alpine'ist<\/h2>\n

\nUuringu l\u00e4biviimise p\u00f5hjuseks sai Talos Vulnerability Report, mis ilmus kuu alguses (TALOS-2019-0782<\/a><\/noindex>), mille autorid \u2014 Peter Adkinsi avastuse t\u00f5ttu Cisco Umbrella's \u2014 teatasid, et Docker'iga pildid, mis p\u00f5hinevad populaarsetel konteinerite jaotustel Alpine, ei oma root kasutaja jaoks parooli:<\/p>\n

\"Alpine Linux'i ametlikud Docker'i pildid (alates v3.3) sisaldavad NULL-parooli root kasutaja jaoks. See haavatavus tekkis tagasiulatuva vea t\u00f5ttu, mis esitati 2015. aasta detsembris. Selle olemus seisneb selles, et probleemsete Alpine Linux'i versioonidega konteineris k\u00e4ivitatud s\u00fcsteemid, mis kasutavad Linux PAM'i v\u00f5i muud mehhanismi, mis kasutab s\u00fcsteemi faili shadow autentimiseks, v\u00f5ivad aktsepteerida NULL-parooli root kasutaja jaoks.\"<\/p><\/blockquote>\n

\nProbleemseks peetud Alpine Docker'i piltide versioonid olid 3.3\u20143.9 kaasa arvatud ning ka viimane edge v\u00e4ljalase.<\/p>\n

Autorid andsid j\u00e4rgmise soovituse probleemiga kasutajatele:<\/p>\n

\"Root kasutajakonto tuleks Docker'i piltides, mis on ehitatud probleemsetele Alpine versioonidele, selgelt keelata. T\u00f5en\u00e4oline haavatavuse \u00e4rakasutamine s\u00f5ltub keskkonnast, kuna selle edu n\u00f5uab teenuse v\u00f5i rakenduse v\u00e4ljastpoolt edastamist, mis kasutab Linux PAM'i v\u00f5i m\u00f5nda muud sarnast mehhanismi.\"<\/p><\/blockquote>\n

\nProbleem oli on k\u00f5rvaldatud<\/a><\/noindex> Alpine versioonides 3.6.5, 3.7.3, 3.8.4, 3.9.2 ja edge (20190228 snapshot), ning koos sellega haavatavate piltide omanikele soovitati kommenteerida v\u00e4lja root'i rida \/etc\/shadow<\/code> v\u00f5i tagada, et pakki linux-pam<\/code>.<\/p>\n

J\u00e4tkamine Docker Hub'is<\/h2>\n

\nJerry Gamblin soovis uurida, \"kui levinud v\u00f5ib null-paroolide kasutamine konteinerites olla\". Selleks kirjutas ta v\u00e4ikese Bash-skripti<\/a><\/noindex>, mille eesm\u00e4rk on v\u00e4ga lihtne:<\/p>\n