Ricercatori sulla sicurezza Cisco informazioni sulla vulnerabilità (CVE-2019-5021) in Distribuzione alpina per il sistema di isolamento dei container Docker. L'essenza del problema identificato è che la password predefinita per l'utente root è stata impostata su una password vuota senza bloccare l'accesso diretto come root. Ricordiamo che Alpine viene utilizzato per generare immagini ufficiali dal progetto Docker (prima le build ufficiali erano basate su Ubuntu, ma poi c'erano sull'Alpino).
Il problema è presente dalla build Alpine Docker 3.3 ed è stato causato da una modifica di regressione aggiunta nel 2015 (prima della versione 3.3, /etc/shadow utilizzava la riga "root:!::0:::::", e dopo la deprecazione del flag “-d” è stata aggiunta la riga “root:::0:::::”. Il problema è stato inizialmente identificato e nel novembre 2015, ma ancora per errore a dicembre nei file di build del ramo sperimentale, per poi essere trasferito alle build stabili.
Le informazioni sulla vulnerabilità affermano che il problema si presenta anche nell'ultimo ramo di Alpine Docker 3.9. Sviluppatori alpini a marzo patch e vulnerabilità a partire dalle build 3.9.2, 3.8.4, 3.7.3 e 3.6.5, ma rimane nei vecchi rami 3.4.x e 3.5.x, che sono già stati interrotti. Inoltre, gli sviluppatori sostengono che il vettore di attacco è molto limitato e richiede che l’aggressore abbia accesso alla stessa infrastruttura.
Fonte: opennet.ru