આલ્પાઇન ડોકર છબીઓ ખાલી રૂટ પાસવર્ડ સાથે મોકલવામાં આવી છે

સિસ્કો સુરક્ષા સંશોધકો ખુલ્લું નબળાઈ માહિતી (CVE-2019-5021) માં એસેમ્બલીઓ ડોકર કન્ટેનર આઇસોલેશન સિસ્ટમ માટે આલ્પાઇન વિતરણ. ઓળખાયેલ સમસ્યાનો સાર એ છે કે રૂટ વપરાશકર્તા માટેનો મૂળભૂત પાસવર્ડ રૂટ તરીકે ડાયરેક્ટ લોગિનને અવરોધિત કર્યા વિના ખાલી પાસવર્ડ પર સેટ કરવામાં આવ્યો હતો. ચાલો યાદ રાખીએ કે આલ્પાઇનનો ઉપયોગ ડોકર પ્રોજેક્ટમાંથી સત્તાવાર છબીઓ બનાવવા માટે થાય છે (અગાઉ સત્તાવાર બિલ્ડ્સ ઉબુન્ટુ પર આધારિત હતા, પરંતુ પછી ત્યાં હતા. અનુવાદિત આલ્પાઇન પર).

આ સમસ્યા એલ્પાઇન ડોકર 3.3 બિલ્ડ પછીથી હાજર છે અને 2015 માં ઉમેરાયેલા રીગ્રેસન ફેરફારને કારણે થઈ હતી (આવૃત્તિ 3.3 પહેલા, /etc/shadowએ "root:!::0::::::", અને પછી ધ્વજ "-d" નું અવમૂલ્યન "રુટ:::0:::::" ઉમેરવાનું શરૂ થયું. સમસ્યાને શરૂઆતમાં ઓળખવામાં આવી હતી અને નિશ્ચિત નવેમ્બર 2015 માં, પરંતુ ડિસેમ્બરમાં ફરીથી ભૂલથી સપાટી પર આવી પ્રાયોગિક શાખાની બિલ્ડ ફાઇલોમાં, અને પછી સ્થિર બિલ્ડ્સમાં સ્થાનાંતરિત કરવામાં આવી હતી.

નબળાઈ માહિતી જણાવે છે કે સમસ્યા અલ્પાઈન ડોકર 3.9 ની નવીનતમ શાખામાં પણ દેખાય છે. માર્ચમાં આલ્પાઇન ડેવલપર્સ પ્રકાશિત પેચ અને નબળાઈ દેખાતું નથી બિલ્ડ્સ 3.9.2, 3.8.4, 3.7.3 અને 3.6.5 થી શરૂ થાય છે, પરંતુ જૂની શાખાઓ 3.4.x અને 3.5.x માં રહે છે, જે પહેલાથી જ બંધ કરવામાં આવી છે. વધુમાં, વિકાસકર્તાઓ દાવો કરે છે કે હુમલો વેક્ટર ખૂબ જ મર્યાદિત છે અને હુમલાખોરને સમાન ઈન્ફ્રાસ્ટ્રક્ચરની ઍક્સેસની જરૂર છે.

સોર્સ: opennet.ru