ટોચના 19.4 ડોકર કન્ટેનરમાંથી 1000% ખાલી રૂટ પાસવર્ડ ધરાવે છે

જેરી ગેમ્બલીન એ શોધવાનું નક્કી કર્યું કે નવા ઓળખાયેલા કેટલા વ્યાપક છે સમસ્યા આલ્પાઇન વિતરણની ડોકર ઈમેજોમાં, રૂટ વપરાશકર્તા માટે ખાલી પાસવર્ડ સ્પષ્ટ કરવા સાથે સંકળાયેલ છે. ડોકર હબ કેટલોગમાંથી હજારો સૌથી લોકપ્રિય કન્ટેનરનું વિશ્લેષણ બતાવ્યું, શું માં 194 આમાંથી (19.4%) એકાઉન્ટને લોક કર્યા વિના રુટ માટે ખાલી પાસવર્ડ સેટ કરવામાં આવ્યો છે ("રુટ::!::0:::::")ને બદલે.

જો કન્ટેનર શેડો અને linux-pam પેકેજોનો ઉપયોગ કરે છે, તો ખાલી રૂટ પાસવર્ડનો ઉપયોગ કરો તે માટે પરવાનગી આપે છે જો તમારી પાસે કન્ટેનરની અનપ્રાવિલેજ્ડ એક્સેસ હોય અથવા કન્ટેનરમાં ચાલી રહેલી બિનપ્રાપ્તિ વિનાની સેવામાં નબળાઈનો દુરુપયોગ કર્યા પછી તમારા વિશેષાધિકારોને કન્ટેનરની અંદર વધારો. જો તમારી પાસે ઇન્ફ્રાસ્ટ્રક્ચરની ઍક્સેસ હોય તો તમે રૂટ રાઇટ્સ સાથે કન્ટેનર સાથે પણ કનેક્ટ કરી શકો છો, એટલે કે. ટર્મિનલ મારફતે /etc/securetty યાદીમાં ઉલ્લેખિત TTY સાથે જોડવાની ક્ષમતા. ખાલી પાસવર્ડ સાથે લોગિન SSH દ્વારા અવરોધિત છે.

વચ્ચે સૌથી વધુ લોકપ્રિય ખાલી રૂટ પાસવર્ડ સાથે કન્ટેનર છે microsoft/azure-cli, kylemanna/openvpn, governmentpaas/s3-સંસાધન, phpmyadmin/phpmyadmin, mesosphere/aws-cli и hashicorp/terraform, જેના 10 મિલિયનથી વધુ ડાઉનલોડ્સ છે. કન્ટેનર પણ પ્રકાશિત થાય છે
govuk/gemstash-alpine (500 હજાર), monsantoco/logstash (5 મિલિયન),
avhost/docker-matrix-riot (1 મિલિયન),
azuresdk/azure-cli-python (5 મિલિયન)
и ciscocloud/haproxy-consul (1 મિલિયન). આમાંના લગભગ તમામ કન્ટેનર આલ્પાઇન પર આધારિત છે અને શેડો અને લિનક્સ-પામ પેકેજનો ઉપયોગ કરતા નથી. ડેબિયન પર આધારિત માઇક્રોસોફ્ટ/એઝ્યુર-ક્લી એકમાત્ર અપવાદ છે.

સોર્સ: opennet.ru