Vulnerabilità negli scanner di sicurezza delle immagini dei container Docker

Pubblicati i risultati dei test degli strumenti per identificare le vulnerabilità non corrette e rilevare problemi di sicurezza nelle immagini dei container Docker isolati. La verifica ha mostrato che in 4 su 6 noti scanner di immagini Docker erano presenti vulnerabilità critiche che consentivano di attaccare direttamente lo scanner stesso e di eseguire il proprio codice nel sistema, in alcuni casi (ad esempio, utilizzando Snyk) con i diritti di root.

Per attaccare, un aggressore deve solo avviare la verifica del proprio Dockerfile o manifest.json, che includa metadati appositamente formati, oppure inserire all'interno dell'immagine i file Podfile e gradlew. Sono stati preparati prototipi di exploit per i sistemi Fossa
WhiteSource, Snyk,
. Il pacchetto ha mostrato la migliore sicurezza e
Anchore, originariamente scritto con particolare attenzione alla sicurezza. Non sono stati riscontrati problemi nemmeno nel pacchetto Clair. In definitiva, si conclude che gli scanner dei container Docker dovrebbero essere eseguiti in ambienti isolati o utilizzati solo per verificare le proprie immagini, e si raccomanda di prestare cautela nell'integrare tali strumenti nei sistemi di integrazione continua automatizzati. TrivyIn FOSSA, Snyk e WhiteSource, la vulnerabilità era legata alla chiamata di un gestore di pacchetti esterno per determinare le dipendenze e consentiva di organizzare l'esecuzione del proprio codice specificando i comandi touch e system nei file

gradlew Podfile e In Snyk e WhiteSource sono stati inoltre.

trovati con l'organizzazione dell'esecuzione di comandi di sistema durante l'analisi del Dockerfile (ad esempio, in Snyk tramite il Dockerfile era possibile sostituire l'utilità /bin/ls invocata dallo scanner, mentre in WhiteSource era possibile inserire codice tramite argomenti nella forma «echo ‘;touch /tmp/hacked_whitesource_pip;=1.0’»). vulnerabilità, alla serializzazione dei dati, In Anchore, la vulnerabilità

era causata dall'utilizzo dell'utilità skopeo per lavorare con le immagini Docker. Sfruttare la vulnerabilità significava aggiungere nel file manifest.json parametri del tipo ‘"os": "$(touch hacked_anchore)"’, che venivano sostituiti durante la chiamata di skopeo senza la dovuta escape (venivano rimossi solo i caratteri «;&, ma era consentita la costruzione «$()»). Lo stesso autore ha condotto uno studio sull'efficacia nell'identificazione delle vulnerabilità non corrette da parte degli scanner di sicurezza dei container Docker e sul livello di falsi positivi (

Lo stesso autore ha condotto uno studio sull'efficacia dell'individuazione delle vulnerabilità non corrette da parte degli scanner di sicurezza dei contenitori Docker e sul livello dei falsi positivi (parte 1, parte 2, parte 3). Di seguito sono mostrati i risultati dei test su 73 immagini contenenti vulnerabilità note, e viene fornita una valutazione dell'efficacia dell'identificazione delle applicazioni standard nelle immagini (nginx, tomcat, haproxy, gunicorn, redis, ruby, node).

Fonte: opennet.ru