Alpine Docker イメージは空の root パスワードとともに出荷されます

シスコのセキュリティ研究者 覆われていない 脆弱性情報（CVE-2019-5021） アセンブリ Docker コンテナ分離システムの Alpine ディストリビューション。 特定された問題の本質は、root としての直接ログインをブロックせずに、root ユーザーのデフォルトのパスワードが空のパスワードに設定されていたことです。 Docker プロジェクトから公式イメージを生成するために Alpine が使用されていることを思い出してください (以前の公式ビルドは Ubuntu に基づいていましたが、その後、 翻訳された アルパインで）。

この問題は Alpine Docker 3.3 ビルド以来存在しており、2015 年に追加された回帰変更によって引き起こされました (バージョン 3.3 より前では、/etc/shadow では「root:!::0:::::」という行が使用され、その後はフラグ「-d」の非推奨化により、行「root:::0:::::」が追加され始めました。 問題は最初に特定され、 修理済み 2015年XNUMX月に、しかしまた間違えてXNUMX月に 浮上した 実験ブランチのビルド ファイルに含まれており、その後安定版ビルドに転送されました。

脆弱性情報によると、この問題は Alpine Docker 3.9 の最新ブランチでも発生します。 XNUMX 月のアルパイン開発者 リリース パッチと脆弱性 表示されません ビルド 3.9.2、3.8.4、3.7.3、および 3.6.5 から始まりますが、すでに廃止された古いブランチ 3.4.x および 3.5.x に残ります。 さらに、開発者らは、攻撃ベクトルは非常に限定されており、攻撃者は同じインフラストラクチャにアクセスする必要があると主張しています。

出所： オープンネット.ru