Alpine Docker სურათები გაიგზავნება ცარიელი root პაროლით

Cisco უსაფრთხოების მკვლევარები დაუფარავი დაუცველობის შესახებ ინფორმაცია (CVE-2019-5021) in შეკრებები ალპური განაწილება Docker კონტეინერის იზოლაციის სისტემისთვის. იდენტიფიცირებული პრობლემის არსი ის არის, რომ root მომხმარებლისთვის ნაგულისხმევი პაროლი დაყენებული იყო ცარიელ პაროლზე პირდაპირი შესვლის, როგორც root-ის დაბლოკვის გარეშე. გავიხსენოთ, რომ Alpine გამოიყენება Docker-ის პროექტიდან ოფიციალური სურათების გენერირებისთვის (ადრე ოფიციალური ნაგებობები ეფუძნებოდა Ubuntu-ს, მაგრამ შემდეგ იყო თარგმნა ალპურზე).

პრობლემა წარმოიშვა Alpine Docker 3.3-ის აგების შემდეგ და გამოწვეული იყო 2015 წელს დამატებული რეგრესიის ცვლილებით (3.3 ვერსიამდე, /etc/shadow იყენებდა ხაზს "root:!::0:::::" და შემდეგ დროშის „-d“-ის გაუქმება დაემატა სტრიქონი „root:::0:::::“). პრობლემა თავიდანვე გამოვლინდა და დაფიქსირდა 2015 წლის ნოემბერში, მაგრამ დეკემბერში ისევ შეცდომით მოჩანდა ექსპერიმენტული ფილიალის build ფაილებში და შემდეგ გადავიდა სტაბილურ ბილდებზე.

დაუცველობის შესახებ ინფორმაციაში ნათქვამია, რომ პრობლემა ასევე ჩნდება Alpine Docker 3.9-ის უახლეს ფილიალში. ალპური დეველოპერები მარტში გაათავისუფლეს პატჩი და დაუცველობა არ ჩანს დაწყებული builds 3.9.2, 3.8.4, 3.7.3 და 3.6.5, მაგრამ რჩება ძველ ფილიალებში 3.4.x და 3.5.x, რომლებიც უკვე შეწყვეტილია. გარდა ამისა, დეველოპერები აცხადებენ, რომ თავდასხმის ვექტორი ძალიან შეზღუდულია და მოითხოვს, რომ თავდამსხმელს ჰქონდეს წვდომა იმავე ინფრასტრუქტურაზე.

წყარო: opennet.ru