{"id":34141,"date":"2019-10-31T21:56:37","date_gmt":"2019-10-31T18:56:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root\/"},"modified":"2019-10-31T21:56:37","modified_gmt":"2019-10-31T18:56:37","slug":"v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","title":{"rendered":"Nel 19% delle immagini Docker pi\u00f9 popolari non c'\u00e8 password per root","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Lo scorso sabato, 18 maggio, Jerry Gamblin di Kenna Security ha verificato<\/a><\/noindex> 1000 delle immagini pi\u00f9 popolari su Docker Hub per la password utilizzata per l'utente root. Nel 19% dei casi si \u00e8 rivelata vuota.<\/p>\n

\"Nel<\/a><\/noindex><\/p>\n

Retroscena su Alpine<\/h2>\n

\nLa motivazione dietro questo mini-studio \u00e8 stata il Talos Vulnerability Report apparso all'inizio di questo mese (TALOS-2019-0782<\/a><\/noindex>), i cui autori - grazie alla scoperta di Peter Adkins di Cisco Umbrella - hanno segnalato che le immagini Docker con il popolare distribuzione per container Alpine non hanno una password per root:<\/p>\n

\"Le versioni ufficiali delle immagini Docker di Alpine Linux (a partire da v3.3) contengono una password NULL per l'utente root. Questa vulnerabilit\u00e0 \u00e8 emersa a causa di una regressione introdotta nel dicembre 2015. La sostanza \u00e8 che i sistemi distribuiti con versioni problematiche di Alpine Linux in un container e che utilizzano Linux PAM o un altro meccanismo che coinvolge il file di sistema shadow come database per l'autenticazione, possono accettare una password nulla (NULL) per l'utente root.\"<\/p><\/blockquote>\n

\nLe versioni delle immagini Docker con Alpine identificate come problematiche erano le 3.3\u20143.9 incluse, cos\u00ec come l'ultima release edge.<\/p>\n

Gli autori hanno fornito la seguente raccomandazione agli utenti colpiti dal problema:<\/p>\n

\"L'account root dovrebbe essere esplicitamente disabilitato nelle immagini Docker costruite sulle versioni problematiche di Alpine. La potenziale sfruttabilit\u00e0 della vulnerabilit\u00e0 dipende dall'ambiente poich\u00e9 il suo successo richiede un servizio o un'applicazione esposta che utilizzi Linux PAM o un meccanismo simile.\"<\/p><\/blockquote>\n

\nIl problema \u00e8 stato \u00e8 stato risolto<\/a><\/noindex> nelle versioni Alpine 3.6.5, 3.7.3, 3.8.4, 3.9.2 e edge (snapshot 20190228), e agli utenti con immagini vulnerabili \u00e8 stato consigliato di commentare la riga con root in \/etc\/shadow<\/code> o assicurarsi che il pacchetto linux-pam<\/code>.<\/p>\n

Continuazione su Docker Hub<\/h2>\n

\nJerry Gamblin ha deciso di indagare \"quanto possa essere comune la pratica di utilizzare password null in container\". Per fare questo ha scritto un piccolo script Bash<\/a><\/noindex>, la cui essenza \u00e8 piuttosto semplice:<\/p>\n