Chercheurs en sécurité Cisco informations de vulnérabilité (CVE-2019-5021) dans Distribution alpine pour le système d'isolation des conteneurs Docker. L'essence du problème identifié est que le mot de passe par défaut de l'utilisateur root a été défini sur un mot de passe vide sans bloquer la connexion directe en tant que root. Rappelons qu'Alpine est utilisé pour générer des images officielles à partir du projet Docker (auparavant les versions officielles étaient basées sur Ubuntu, mais il y avait ensuite sur Alpine).
Le problème est présent depuis la version Alpine Docker 3.3 et a été causé par un changement de régression ajouté en 2015 (avant la version 3.3, /etc/shadow utilisait la ligne "root:!::0:::::", et après le dépréciation du drapeau « -d », la ligne « root:::0::::: » a commencé à être ajoutée. Le problème a été initialement identifié et en novembre 2015, mais encore une fois par erreur en décembre dans les fichiers de build de la branche expérimentale, puis a été transféré vers des builds stables.
Les informations sur la vulnérabilité indiquent que le problème apparaît également dans la dernière branche d'Alpine Docker 3.9. Développeurs alpins en mars correctif et vulnérabilité à partir des builds 3.9.2, 3.8.4, 3.7.3 et 3.6.5, mais reste dans les anciennes branches 3.4.x et 3.5.x, qui ont déjà été abandonnées. De plus, les développeurs affirment que le vecteur d’attaque est très limité et nécessite que l’attaquant ait accès à la même infrastructure.
Source: opennet.ru