{"id":34141,"date":"2019-10-31T21:56:37","date_gmt":"2019-10-31T18:56:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root\/"},"modified":"2019-10-31T21:56:37","modified_gmt":"2019-10-31T18:56:37","slug":"v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","title":{"rendered":"Nei 19% dei docker image pi\u00f9 popolari non c'\u00e8 password per root.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Sabato scorso, 18 maggio, Jerry Gamblin di Kenna Security ha controllato<\/a><\/noindex> 1000 delle immagini pi\u00f9 popolari su Docker Hub per la password utilizzata per l'utente root. In 19% dei casi \u00e8 risultata vuota.<\/p>\n

\"Nei<\/a><\/noindex><\/p>\n

Contesto su Alpine<\/h2>\n

\nLa motivazione per questo mini-studio \u00e8 stata riportata nel Talos Vulnerability Report pubblicato all'inizio di questo mese (TALOS-2019-0782<\/a><\/noindex>), nel quale gli autori \u2014 grazie alla scoperta di Peter Adkins di Cisco Umbrella \u2014 hanno comunicato che le immagini Docker con il popolare sistema operativo per container, Alpine, non hanno password per root:<\/p>\n

\u00abLe versioni ufficiali delle immagini Docker di Alpine Linux (a partire da v3.3) contengono una password NULL per l'utente root. Questa vulnerabilit\u00e0 \u00e8 emersa da un regressione introdotta a dicembre 2015. In sostanza, i sistemi implementati con versioni vulnerabili di Alpine Linux in container e che utilizzano Linux PAM o un altro meccanismo che sfrutta il file di sistema shadow come database per l'autenticazione, possono accettare una password nulla (NULL) per l'utente root\u00bb.<\/p><\/blockquote>\n

\nLe versioni di Docker immagini con Alpine identificate come problematiche erano dalla 3.3 alla 3.9 inclusa, oltre all'ultima release edge.<\/p>\n

Gli autori fornivano la seguente raccomandazione per gli utenti colpiti dal problema:<\/p>\n

\u00abL'account root deve essere disattivato esplicitamente nelle immagini Docker costruite su versioni problematiche di Alpine. La potenziale sfruttabilit\u00e0 della vulnerabilit\u00e0 dipende dall'ambiente, poich\u00e9 il suo successo richiede un servizio o un'applicazione esposta all'esterno che utilizzi Linux PAM o un meccanismo simile\u00bb.<\/p><\/blockquote>\n

\nIl problema \u00e8 stato risolto<\/a><\/noindex> in Alpine versioni 3.6.5, 3.7.3, 3.8.4, 3.9.2 e edge (snapshot 20190228), e ai possessori di immagini vulnerabili \u00e8 stato suggerito di commentare la riga con root in \/etc\/shadow<\/code> o assicurarsi dell'assenza del pacchetto linux-pam<\/code>.<\/p>\n

Proseguendo con Docker Hub<\/h2>\n

\nJerry Gamblin ha voluto curiosare su \u00abquanto possa essere diffusa la pratica dell'uso di password null nei container\u00bb. A questo scopo ha scritto un piccolo script Bash<\/a><\/noindex>, il cui scopo \u00e8 piuttosto semplice:<\/p>\n