19% शीर्ष डॉकर छवियों में रूट पासवर्ड नहीं है

पिछले शनिवार, 18 मई, केन्ना सुरक्षा के जेरी गैंबलिन चेक किए गए रूट उपयोगकर्ता के लिए उपयोग किए जाने वाले पासवर्ड द्वारा डॉकर हब से 1000 सबसे लोकप्रिय छवियां। 19% मामलों में यह खाली निकला।

अल्पाइन के साथ पृष्ठभूमि

मिनी-अध्ययन का कारण तालोस भेद्यता रिपोर्ट थी जो इस महीने की शुरुआत में सामने आई थी (तालोस-2019-0782), जिसके लेखक - सिस्को अंब्रेला से पीटर एडकिंस की खोज के लिए धन्यवाद - ने बताया कि लोकप्रिय अल्पाइन कंटेनर वितरण के साथ डॉकटर छवियों में रूट पासवर्ड नहीं है:

“अल्पाइन लिनक्स डॉकर छवियों के आधिकारिक संस्करण (v3.3 से शुरू) में रूट उपयोगकर्ता के लिए एक पूर्ण पासवर्ड होता है। यह भेद्यता दिसंबर 2015 में प्रस्तुत प्रतिगमन के परिणामस्वरूप दिखाई दी। इसका सार इस तथ्य पर उबलता है कि एक कंटेनर में अल्पाइन लिनक्स के समस्याग्रस्त संस्करणों के साथ तैनात सिस्टम और लिनक्स पीएएम या अन्य तंत्र का उपयोग करते हुए प्रमाणीकरण के लिए डेटाबेस के रूप में सिस्टम छाया फ़ाइल का उपयोग रूट उपयोगकर्ता के लिए एक शून्य (NULL) पासवर्ड स्वीकार कर सकता है।

समस्या के लिए परीक्षण किए गए अल्पाइन डॉकर छवियों के संस्करण 3.3-3.9 समावेशी थे, साथ ही एज की नवीनतम रिलीज़ भी।

लेखकों ने प्रभावित उपयोगकर्ताओं के लिए निम्नलिखित सिफारिश की:

"अल्पाइन के समस्याग्रस्त संस्करणों से निर्मित डॉकर छवियों में रूट खाते को स्पष्ट रूप से अक्षम किया जाना चाहिए। भेद्यता का संभावित शोषण पर्यावरण पर निर्भर करता है, क्योंकि इसकी सफलता के लिए Linux PAM या अन्य समान तंत्र का उपयोग करके बाहरी रूप से अग्रेषित सेवा या एप्लिकेशन की आवश्यकता होती है।

समस्या थी सफाया अल्पाइन संस्करण 3.6.5, 3.7.3, 3.8.4, 3.9.2 और एज (20190228 स्नैपशॉट) में, और प्रभावित छवियों के मालिकों को रूट के साथ लाइन पर टिप्पणी करने के लिए कहा गया था /etc/shadow या सुनिश्चित करें कि पैकेज गायब है linux-pam.

डॉकर हब से जारी

जेरी गैंबलिन ने "कंटेनर में शून्य पासवर्ड का उपयोग करने का अभ्यास कितना आम हो सकता है" के बारे में पूछताछ करने का फैसला किया। ऐसा करने के लिए, उन्होंने एक छोटा लिखा बैश स्क्रिप्ट, जिसका सार बहुत सरल है:

• डॉकर हब में एपीआई के लिए एक कर्ल अनुरोध के माध्यम से, वहां होस्ट की गई डॉकर छवियों की एक सूची का अनुरोध किया गया है;
• jq के माध्यम से यह फ़ील्ड द्वारा सॉर्ट करता है popularity, और प्राप्त परिणामों से, पहले हजार शेष हैं;
• उनमें से प्रत्येक के लिए, docker pull;
• डॉकर हब से प्राप्त प्रत्येक छवि के लिए, docker run फ़ाइल से पहली पंक्ति पढ़ना /etc/shadow;
• यदि स्ट्रिंग मान के बराबर है root:::0:::::, छवि का नाम एक अलग फ़ाइल में सहेजा गया है।

क्या हुआ? में यह फ़ाइल लिनक्स सिस्टम के साथ लोकप्रिय डॉकर छवियों के नाम के साथ 194 पंक्तियाँ थीं, जिनमें रूट उपयोगकर्ता के पास पासवर्ड सेट नहीं है:

"इस सूची में सबसे प्रसिद्ध नामों में गोवुक/गवर्नमेंटपास, हैशिकॉर्प, माइक्रोसॉफ्ट, मोनसेंटो और मेसोस्फीयर थे। और kylemanna / openvpn सूची में सबसे लोकप्रिय कंटेनर है, जिसमें 10 मिलियन से अधिक पुल हैं।

हालांकि, यह याद रखने योग्य है कि इस घटना का मतलब उन प्रणालियों की सुरक्षा में प्रत्यक्ष भेद्यता नहीं है जो उनका उपयोग करते हैं: यह सब इस बात पर निर्भर करता है कि उनका उपयोग कैसे किया जाता है। (उपरोक्त अल्पाइन मामले से टिप्पणी देखें). हालाँकि, हमने पहले ही "इस कहानी का नैतिक" कई बार देखा है: स्पष्ट सादगी में अक्सर एक नकारात्मक पक्ष होता है, जिसे आपको हमेशा याद रखना चाहिए और प्रौद्योगिकी का उपयोग करने के लिए आपके परिदृश्यों में इसके परिणामों को ध्यान में रखना चाहिए।

पुनश्च

हमारे ब्लॉग पर भी पढ़ें:

• «डॉकर हब पर छवियों में आधार ऑपरेटिंग सिस्टम पर सांख्यिकी";
• «सुरक्षा-मांग वाले वातावरण में डॉकर और कुबेरनेट्स";
• «भेद्यता CVE-2019-5736 रनक में, मेजबान पर मूल अधिकार प्राप्त करने की अनुमति देता है";
• «कमजोर डॉकर वीएम - डॉकर और पेन्टिंग के लिए एक पहेली आभासी मशीन'.

स्रोत: www.habr.com