ડોકર કન્ટેનર છબીઓ માટે સુરક્ષા સ્કેનર્સમાં નબળાઈઓ

પ્રકાશિત અનપેચ્ડ નબળાઈઓને ઓળખવા અને આઇસોલેટેડ ડોકર કન્ટેનર ઈમેજીસમાં સુરક્ષા સમસ્યાઓ ઓળખવા માટેના પરીક્ષણ સાધનોના પરિણામો. ઓડિટ દર્શાવે છે કે 4 માંથી 6 જાણીતા ડોકર ઇમેજ સ્કેનરમાં જટિલ નબળાઈઓ છે જેણે સ્કેનર પર સીધો હુમલો કરવો અને સિસ્ટમ પર તેના કોડને અમલમાં મૂકવાનું શક્ય બનાવ્યું, કેટલાક કિસ્સાઓમાં (ઉદાહરણ તરીકે, જ્યારે Snyk નો ઉપયોગ કરતી વખતે) રૂટ અધિકારો સાથે.

હુમલો કરવા માટે, હુમલાખોરે ફક્ત તેની Dockerfile અથવા manifest.json ની તપાસ શરૂ કરવાની જરૂર છે, જેમાં ખાસ ડિઝાઇન કરેલ મેટાડેટાનો સમાવેશ થાય છે, અથવા Podfile અને gradlew ફાઇલોને ઇમેજની અંદર મૂકવાની જરૂર છે. પ્રોટોટાઇપ્સનો ઉપયોગ કરો તૈયાર કરવામાં વ્યવસ્થાપિત સિસ્ટમો માટે
વ્હાઇટસોર્સ, Snyk,
ફોસા и
એન્કર. પેકેજ શ્રેષ્ઠ સુરક્ષા દર્શાવે છે ક્લેર, મૂળરૂપે સુરક્ષાને ધ્યાનમાં રાખીને લખાયેલ છે. પેકેજમાં પણ કોઈ સમસ્યા ઓળખવામાં આવી નથી. ટ્રીવી. પરિણામે, એવું તારણ કાઢવામાં આવ્યું હતું કે ડોકર કન્ટેનર સ્કેનર્સ અલગ વાતાવરણમાં ચલાવવા જોઈએ અથવા ફક્ત તેમની પોતાની છબીઓ તપાસવા માટે જ ઉપયોગમાં લેવા જોઈએ, અને આવા સાધનોને સ્વયંસંચાલિત સતત એકીકરણ સિસ્ટમો સાથે જોડતી વખતે સાવચેતી રાખવી જોઈએ.

FOSSA, Snyk અને WhiteSource માં, નિર્ભરતા નિર્ધારિત કરવા માટે બાહ્ય પેકેજ મેનેજરને કૉલ કરવા સાથે નબળાઈ સંકળાયેલી હતી અને તમને ફાઈલોમાં ટચ અને સિસ્ટમ આદેશોનો ઉલ્લેખ કરીને તમારા કોડના અમલને ગોઠવવાની મંજૂરી આપી હતી. ગ્રેડલ и પોડફાઈલ.

Snyk અને વ્હાઇટસોર્સ પણ હતા મળી નબળાઈઓ, સંબંધિત ડોકરફાઈલનું પદચ્છેદન કરતી વખતે સિસ્ટમ કમાન્ડ લોન્ચ કરવાની સંસ્થા સાથે (ઉદાહરણ તરીકે, Snyk માં, Dockfile દ્વારા, સ્કેનર દ્વારા બોલાવવામાં આવેલ /bin/ls ઉપયોગિતાને બદલવું શક્ય હતું, અને વ્હાઇટસોર્સમાં, દલીલો દ્વારા કોડને બદલવાનું શક્ય હતું. ફોર્મ “echo';touch /tmp/hacked_whitesource_pip;=1.0 ′").

એન્કર નબળાઈ તરીકે ઓળખાતું હતું ઉપયોગિતાનો ઉપયોગ કરીને અવકાશ ડોકર ઈમેજો સાથે કામ કરવા માટે. manifest.json ફાઇલમાં '"os": "$(touch hacked_anchore)"' જેવા પરિમાણો ઉમેરવા માટે ઓપરેશન ઉકાળવામાં આવ્યું, જે યોગ્ય રીતે બહાર નીકળ્યા વિના સ્કોપિયોને કૉલ કરતી વખતે અવેજી કરવામાં આવે છે (ફક્ત ";&<>" અક્ષરો કાપવામાં આવ્યા હતા, પરંતુ બાંધકામ "$( )").

આ જ લેખકે ડોકર કન્ટેનર સિક્યુરિટી સ્કેનર્સનો ઉપયોગ કરીને અનપેચ્ડ નબળાઈઓને ઓળખવાની અસરકારકતા અને ખોટા હકારાત્મક (ભાગ 1, ભાગ 2, ભાગ 3). નીચે જાણીતી નબળાઈઓ ધરાવતી 73 ઈમેજોના પરીક્ષણના પરિણામો છે, અને ઈમેજો (nginx, tomcat, haproxy, gunicorn, redis, ruby, node) માં લાક્ષણિક એપ્લિકેશનોની હાજરી નક્કી કરવાની અસરકારકતાનું મૂલ્યાંકન પણ કરે છે.

સોર્સ: opennet.ru