A Docker Alpine képek üres root felhasználói jelszóval érkeztek.

A biztonsági kutatók a Cisco cégtől felfedték sebezési információ (CVE-2019-5021) a kiadásként Docker konténerizációs rendszerhez készült Alpine disztribúción. A problémája abban áll, hogy a root felhasználónak alapértelmezetten üres jelszót állítottak be, lehetővé téve a root felhasználó közvetlen bejelentkezését. Emlékezzünk, hogy az Alpine-t hivatalos Docker képek létrehozására használják (korábban a hivatalos build-ek Ubuntu alapúak voltak, de később átálltak átállítanak Alpine-ra).

A probléma a 3.3-as Alpine Docker kiadástól kezdve jelentkezik, és egy 2015-ben történt visszafejlődő változtatás okozta (a 3.3-as verzió előtt a /etc/shadow fájlban a «root:!::0:::::» sor volt használatban, míg utána a «-d» jelző eltávolításával a «root:::0:::::» sor került beillesztésre). A problémát eredetileg javítva 2015 novemberében fedezték fel, de decemberben tévedésből újra megjelent a kísérleti ágon található build fájlokba került, majd átkerült a stabil build-ekbe.

A sebezési információk szerint a probléma az Alpine Docker 3.9-es verziójában is megjelenik. Az Alpine fejlesztői márciusban kiadták javítást és a sebezhetőséget nem tapasztalják a 3.9.2, 3.8.4, 3.7.3, és 3.6.5-ös kiadásokban, de továbbra is fennáll a régi 3.4.x és 3.5.x ágakban, amelyeknek a támogatása már lejárt. Továbbá a fejlesztők állítják, hogy a támadási felület jelentősen korlátozott, és az támadónak hozzáférésre van szüksége ugyanahhoz az infrastruktúrához.

Forrás: opennet.ru