O 19.4% dos 1000 contedores de Docker principais conteñen un contrasinal de root baleiro

Jerry Gamblin decidiu descubrir o que tan estendido estaba o recén identificado un problema en imaxes de Docker da distribución Alpine, asociadas coa especificación dun contrasinal baleiro para o usuario root. Análise de miles dos contedores máis populares do catálogo de Docker Hub amosou, que dentro 194 destes (19.4%) defínese un contrasinal baleiro para root sen bloquear a conta ("root:::0:::::" en lugar de "root:!::0:::::").

Se o contedor usa os paquetes shadow e linux-pam, use un contrasinal de root baleiro permite escala os teus privilexios dentro do contedor se tes acceso sen privilexios ao contedor ou despois de explotar unha vulnerabilidade nun servizo sen privilexios que se executa no contedor. Tamén podes conectarte ao contedor con dereitos de root se tes acceso á infraestrutura, é dicir. capacidade de conectarse mediante terminal ao TTY especificado na lista /etc/securetty. O inicio de sesión cun contrasinal en branco está bloqueado a través de SSH.

O máis popular entre contenedores con contrasinal de root baleiro son microsoft/azure-cli, kylemanna/openvpn, gobernopaas/s3-recurso, phpmyadmin/phpmyadmin, mesosfera/aws-cli и hashicorp/terraform, que teñen máis de 10 millóns de descargas. Tamén se destacan os contedores
govuk/gemstash-alpine (500 mil), monsantoco/logstash (5 millóns),
avhost/docker-matrix-riot (1 millóns),
azuresdk/azure-cli-python (5 millóns)
и ciscocloud/haproxy-consul (1 millón). Case todos estes contedores están baseados en Alpine e non usan os paquetes shadow e linux-pam. A única excepción é microsoft/azure-cli baseado en Debian.

Fonte: opennet.ru