19.4% nan pi gwo 1000 veso Docker yo genyen yon modpas rasin vid

Jerry Gamblin deside chèche konnen ki jan toupatou fèk idantifye a pwoblèm lan nan imaj Docker nan distribisyon an Alpine, ki asosye ak espesifye yon modpas vid pou itilizatè a rasin. Analiz de milye resipyan ki pi popilè nan katalòg Docker Hub la te montre, kisa nan 194 nan sa yo (19.4%) rasin mete sou yon modpas vid san yo pa bloke kont lan ("rasin:::0:::::" olye pou yo "rasin:!::0:::::").

Si veso a sèvi ak pakè lonbraj ak linux-pam, sèvi ak yon modpas rasin vid pèmèt ogmante privilèj ou andedan veso a si ou gen aksè san privilèj nan veso a oswa apre ou fin eksplwate yon vilnerabilite nan yon sèvis san privilèj k ap kouri nan veso a. Ou kapab tou konekte nan veso a ak dwa rasin si ou gen aksè a enfrastrikti a, i.e. kapasite pou konekte via tèminal ak TTY ki espesifye nan lis /etc/securetty la. Konekte ak yon modpas vid yo bloke atravè SSH.

Ki pi popilè nan mitan resipyan ki gen modpas rasin vid yo ye microsoft/azure-cli, kylemanna/openvpn, Governmentpaas/s3-resource, phpmyadmin/phpmyadmin, mesosphere/aws-cli и hashicorp/terraform, ki gen plis pase 10 milyon telechajman. Kontenè yo tou make
govuk/gemstash-alpine (500 mil), monsantoco/logstash (5 milyon),
avhost/docker-matrix-revòlt (1 milyon),
azuresdk/azure-cli-python (5 milyon)
и ciscocloud/haproxy-consul (1 milyon). Prèske tout resipyan sa yo baze sou Alpine epi yo pa sèvi ak pakè lonbraj ak linux-pam yo. Sèl eksepsyon se microsoft/azure-cli ki baze sou Debian.

Sous: opennet.ru