अल्पाइन डॉकर छवियां खाली रूट पासवर्ड के साथ भेजी गईं

सिस्को सुरक्षा शोधकर्ता खुला भेद्यता जानकारी (CVE-2019-5021) में संयोजन डॉकर कंटेनर आइसोलेशन सिस्टम के लिए अल्पाइन वितरण। पहचानी गई समस्या का सार यह है कि रूट उपयोगकर्ता के लिए डिफ़ॉल्ट पासवर्ड को रूट के रूप में सीधे लॉगिन को अवरुद्ध किए बिना एक खाली पासवर्ड पर सेट किया गया था। आइए याद रखें कि डॉकर प्रोजेक्ट से आधिकारिक छवियां उत्पन्न करने के लिए अल्पाइन का उपयोग किया जाता है (पहले आधिकारिक बिल्ड उबंटू पर आधारित थे, लेकिन फिर वहां थे अनुवाद अल्पाइन पर)।

समस्या अल्पाइन डॉकर 3.3 के निर्माण के बाद से मौजूद है और 2015 में जोड़े गए एक प्रतिगमन परिवर्तन के कारण हुई थी (संस्करण 3.3 से पहले /etc/shadow लाइन "root:!::0:::::" का उपयोग करती थी, और उसके बाद ध्वज "-d" का अपमान करते हुए पंक्ति "root:::0:::::") जोड़ी गई। समस्या की शुरुआत में पहचान की गई थी और तय नवंबर 2015 में, लेकिन दिसंबर में फिर गलती से सामने प्रायोगिक शाखा की बिल्ड फ़ाइलों में, और फिर स्थिर बिल्ड में स्थानांतरित कर दिया गया।

भेद्यता जानकारी बताती है कि समस्या अल्पाइन डॉकर 3.9 की नवीनतम शाखा में भी दिखाई देती है। मार्च में अल्पाइन डेवलपर्स रिहा पैच और भेद्यता प्रकट नहीं होता है बिल्ड 3.9.2, 3.8.4, 3.7.3 और 3.6.5 से शुरू होता है, लेकिन पुरानी शाखाओं 3.4.x और 3.5.x में रहता है, जिन्हें पहले ही बंद कर दिया गया है। इसके अलावा, डेवलपर्स का दावा है कि हमला वेक्टर बहुत सीमित है और हमलावर को उसी बुनियादी ढांचे तक पहुंच की आवश्यकता होती है।

स्रोत: opennet.ru