ટોચની ડોકર ઈમેજોમાંથી 19% પાસે રૂટ પાસવર્ડ નથી

છેલ્લા શનિવાર, મે 18, કેન્ના સુરક્ષાના જેરી ગેમ્બલિન ચકાસાયેલ તેઓ જે રૂટ પાસવર્ડનો ઉપયોગ કરે છે તેના આધારે ડોકર હબની 1000 સૌથી લોકપ્રિય છબીઓ. 19% કેસોમાં તે ખાલી હતું.

આલ્પાઇન સાથે પૃષ્ઠભૂમિ

મીની-સંશોધનનું કારણ ટેલોસ નબળાઈ અહેવાલ હતો જે આ મહિનાની શરૂઆતમાં દેખાયો હતો (TALOS-2019-0782), જેના લેખકોએ - સિસ્કો અમ્બ્રેલામાંથી પીટર એડકિન્સની શોધ બદલ આભાર - અહેવાલ આપ્યો કે લોકપ્રિય આલ્પાઇન કન્ટેનર વિતરણ સાથેની ડોકર છબીઓમાં રૂટ પાસવર્ડ નથી:

“આલ્પાઈન લિનક્સ ડોકર ઈમેજીસના અધિકૃત સંસ્કરણો (v3.3 થી) રૂટ વપરાશકર્તા માટે નલ પાસવર્ડ ધરાવે છે. આ નબળાઈ ડિસેમ્બર 2015 માં રજૂ કરાયેલા રીગ્રેસનથી પરિણમી હતી. આનો ભાવાર્થ એ છે કે કન્ટેનરમાં આલ્પાઇન લિનક્સની સમસ્યારૂપ આવૃત્તિઓ સાથે અને Linux PAM અથવા અન્ય મિકેનિઝમ કે જે સિસ્ટમ શેડો ફાઇલને પ્રમાણીકરણ ડેટાબેઝ તરીકે ઉપયોગ કરે છે તેનો ઉપયોગ કરતી સિસ્ટમો રુટ વપરાશકર્તા માટે NULL પાસવર્ડ સ્વીકારી શકે છે.

સમસ્યા માટે પરીક્ષણ કરાયેલ આલ્પાઇન સાથેની ડોકર ઈમેજીસની આવૃત્તિઓ 3.3–3.9 સમાવિષ્ટ હતી, તેમજ એજની નવીનતમ પ્રકાશન હતી.

લેખકોએ અસરગ્રસ્ત વપરાશકર્તાઓ માટે નીચેની ભલામણ કરી છે:

“આલ્પાઈનના સમસ્યારૂપ વર્ઝનમાંથી બનેલ ડોકર ઈમેજીસમાં રૂટ એકાઉન્ટ સ્પષ્ટપણે અક્ષમ હોવું જોઈએ. નબળાઈનું સંભવિત શોષણ પર્યાવરણ પર આધારિત છે, કારણ કે તેની સફળતા માટે Linux PAM અથવા અન્ય સમાન પદ્ધતિનો ઉપયોગ કરીને બાહ્ય રીતે ફોરવર્ડ સેવા અથવા એપ્લિકેશનની જરૂર છે."

સમસ્યા હતી નાબૂદ આલ્પાઇન વર્ઝન 3.6.5, 3.7.3, 3.8.4, 3.9.2 અને એજ (20190228 સ્નેપશોટ) માં અને અસરગ્રસ્ત ઈમેજોના માલિકોને રુટ ઇન સાથે લીટીની ટિપ્પણી કરવા માટે કહેવામાં આવ્યું હતું. /etc/shadow અથવા ખાતરી કરો કે પેકેજ ખૂટે છે linux-pam.

ડોકર હબ સાથે ચાલુ રાખ્યું

જેરી ગેમ્બલિને "કંટેનરમાં નલ પાસવર્ડ્સનો ઉપયોગ કરવાની પ્રથા કેટલી સામાન્ય છે" તે વિશે ઉત્સુક બનવાનું નક્કી કર્યું. આ હેતુ માટે તેમણે એક નાનું લખ્યું બેશ સ્ક્રિપ્ટ, જેનો સાર ખૂબ જ સરળ છે:

• ડોકર હબમાં API ને કર્લ વિનંતી દ્વારા, ત્યાં હોસ્ટ કરેલી ડોકર છબીઓની સૂચિની વિનંતી કરવામાં આવે છે;
• jq દ્વારા તે ક્ષેત્ર દ્વારા વર્ગીકૃત થયેલ છે popularity, અને પ્રાપ્ત પરિણામોમાંથી, પ્રથમ હજાર બાકી છે;
• તેમાંના દરેક માટે તે પરિપૂર્ણ થાય છે docker pull;
• ડોકર હબમાંથી પ્રાપ્ત દરેક છબી માટે એક્ઝિક્યુટ કરવામાં આવે છે docker run ફાઇલમાંથી પ્રથમ લીટી વાંચવા સાથે /etc/shadow;
• જો શબ્દમાળાનું મૂલ્ય બરાબર છે root:::0:::::, ઇમેજનું નામ અલગ ફાઇલમાં સાચવવામાં આવે છે.

શું થયું? IN આ ફાઇલ લિનક્સ સિસ્ટમ્સ સાથે લોકપ્રિય ડોકર ઈમેજોના નામ સાથે 194 લીટીઓ હતી, જેમાં રૂટ વપરાશકર્તા પાસે પાસવર્ડ સેટ નથી:

“આ યાદીમાં સૌથી વધુ જાણીતા નામોમાં govuk/governmentpaas, hashicorp, microsoft, monsanto અને mesosphereનો સમાવેશ થાય છે. અને kylemanna/openvpn એ સૂચિમાં સૌથી લોકપ્રિય કન્ટેનર છે, તેના આંકડા કુલ 10 મિલિયનથી વધુ પુલ છે.”

તે યાદ રાખવું યોગ્ય છે, જો કે, આ ઘટનાનો અર્થ એ નથી કે તેનો ઉપયોગ કરતી સિસ્ટમ્સની સુરક્ષામાં સીધી નબળાઈ છે: તે બધું તેનો ઉપયોગ કેવી રીતે થાય છે તેના પર નિર્ભર છે. (ઉપર આલ્પાઇન કેસની ટિપ્પણી જુઓ). જો કે, અમે "વાર્તાનું નૈતિક" ઘણી વખત જોયું છે: દેખીતી સાદગીમાં ઘણીવાર નકારાત્મક બાજુ હોય છે, જે હંમેશા યાદ રાખવું જોઈએ અને તેના પરિણામોને તમારી ટેક્નોલોજી એપ્લિકેશનના દૃશ્યોમાં ધ્યાનમાં લેવામાં આવે છે.

PS

અમારા બ્લોગ પર પણ વાંચો:

• «ડોકર હબ પરની છબીઓમાં અંતર્ગત ઓપરેટિંગ સિસ્ટમ્સના આંકડા»;
• «ડોકર અને કુબરનેટ્સ સુરક્ષાની માંગ કરતા વાતાવરણમાં»;
• «Runc માં નબળાઈ CVE-2019-5736, જે તમને હોસ્ટ પર રૂટ અધિકારો મેળવવા માટે પરવાનગી આપે છે»;
• «નબળા ડોકર VM - ડોકર અને પેન્ટેસ્ટિંગ માટે એક પઝલ વર્ચ્યુઅલ મશીન».

સોર્સ: www.habr.com