{"id":34141,"date":"2019-10-31T21:56:37","date_gmt":"2019-10-31T18:56:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root\/"},"modified":"2019-10-31T21:56:37","modified_gmt":"2019-10-31T18:56:37","slug":"v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","title":{"rendered":"Dans 19 % des images Docker les plus populaires, il n'y a pas de mot de passe pour le root","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Samedi dernier, le 18 mai, Jerry Gamblin de Kenna Security a v\u00e9rifi\u00e9<\/a><\/noindex> 1000 des images les plus populaires de Docker Hub pour le mot de passe d'utilisateur root utilis\u00e9. Dans 19% des cas, il s'est av\u00e9r\u00e9 vide.<\/p>\n

\"Dans<\/a><\/noindex><\/p>\n

Contexte avec Alpine<\/h2>\n

\nLa raison de cette mini-recherche \u00e9tait le rapport de vuln\u00e9rabilit\u00e9 Talos paru plus t\u00f4t ce mois-ci (TALOS-2019-0782<\/a><\/noindex>), dont les auteurs \u2014 gr\u00e2ce \u00e0 la d\u00e9couverte de Peter Adkins de Cisco Umbrella \u2014 ont rapport\u00e9 que les images Docker avec la distribution populaire pour conteneurs Alpine n'ont pas de mot de passe pour root :<\/p>\n

\u00ab Les versions officielles des images Docker d'Alpine Linux (\u00e0 partir de v3.3) contiennent un mot de passe NULL pour l'utilisateur root. Cette vuln\u00e9rabilit\u00e9 r\u00e9sulte d'une r\u00e9gression introduite en d\u00e9cembre 2015. En substance, cela signifie que les syst\u00e8mes d\u00e9ploy\u00e9s avec des versions probl\u00e9matiques d'Alpine Linux dans un conteneur et utilisant Linux PAM ou un autre m\u00e9canisme reposant sur le fichier syst\u00e8me shadow comme base de donn\u00e9es d'authentification peuvent accepter un mot de passe nul (NULL) pour l'utilisateur root \u00bb.<\/p><\/blockquote>\n

\nLes versions d'images Docker avec Alpine probl\u00e9matiques v\u00e9rifi\u00e9es allaient de 3.3 \u00e0 3.9 inclus, ainsi que la derni\u00e8re version edge.<\/p>\n

Les auteurs ont donn\u00e9 la recommandation suivante aux utilisateurs concern\u00e9s par le probl\u00e8me :<\/p>\n

\u00ab Le compte root doit \u00eatre explicitement d\u00e9sactiv\u00e9 dans les images Docker construites sur des versions probl\u00e9matiques d'Alpine. L'exploitation potentielle de la vuln\u00e9rabilit\u00e9 d\u00e9pend de l'environnement, car son succ\u00e8s n\u00e9cessite un service ou une application expos\u00e9s utilisant Linux PAM ou un autre m\u00e9canisme similaire \u00bb.<\/p><\/blockquote>\n

\nLe probl\u00e8me \u00e9tait d\u00fb \u00e0 a \u00e9t\u00e9 corrig\u00e9e<\/a><\/noindex> dans les versions 3.6.5, 3.7.3, 3.8.4, 3.9.2 et edge (snapshot 20190228) d'Alpine, et il a \u00e9t\u00e9 conseill\u00e9 aux utilisateurs concern\u00e9s de commenter la ligne avec root dans \/etc\/shadow<\/code> ou de s'assurer de l'absence du paquet linux-pam<\/code>.<\/p>\n

Suite sur Docker Hub<\/h2>\n

\nJerry Gamblin a voulu savoir \u00ab \u00e0 quel point l'usage de mots de passe null dans les conteneurs pouvait \u00eatre courant \u00bb. Pour cela, il a \u00e9crit un petit Script Bash<\/a><\/noindex>, dont le principe est assez simple :<\/p>\n