დაუცველობა უსაფრთხოების სკანერებში Docker კონტეინერის სურათებისთვის

გამოქვეყნდა შედეგები ტესტირების ხელსაწყოებიდან, რათა გამოავლინოს გაუხსნელი დაუცველობა და დაადგინოს უსაფრთხოების საკითხები იზოლირებულ Docker კონტეინერის სურათებში. აუდიტმა აჩვენა, რომ 4 ცნობილი Docker გამოსახულების სკანერიდან 6 შეიცავდა კრიტიკულ დაუცველობას, რამაც შესაძლებელი გახადა უშუალოდ სკანერზე თავდასხმა და სისტემაზე მისი კოდის შესრულება, ზოგიერთ შემთხვევაში (მაგალითად, Snyk-ის გამოყენებისას) root უფლებებით.

თავდასხმისთვის თავდამსხმელმა უბრალოდ უნდა დაიწყოს მისი Dockerfile ან manifest.json შემოწმება, რომელიც მოიცავს სპეციალურად შემუშავებულ მეტამონაცემებს, ან მოათავსოს Podfile და gradlew ფაილები გამოსახულების შიგნით. პროტოტიპების გამოყენება მომზადება მოახერხა სისტემებისთვის
თეთრი წყარო, სნიკი,
ფოსა и
წამყვანი. პაკეტმა აჩვენა საუკეთესო უსაფრთხოება წმინდა, თავდაპირველად დაწერილი უსაფრთხოების გათვალისწინებით. არც პაკეტში გამოვლენილა პრობლემები. წვრილმანი. შედეგად, დაასკვნეს, რომ Docker-ის კონტეინერების სკანერები უნდა მუშაობდეს იზოლირებულ გარემოში ან გამოიყენონ მხოლოდ საკუთარი სურათების შესამოწმებლად და რომ სიფრთხილე უნდა გამოიჩინონ ასეთი ხელსაწყოების უწყვეტი ინტეგრაციის ავტომატიზებულ სისტემებთან დაკავშირებისას.

FOSSA-ში, Snyk-სა და WhiteSource-ში, დაუცველობა დაკავშირებული იყო გარე პაკეტის მენეჯერის გამოძახებასთან დამოკიდებულებების დასადგენად და საშუალებას გაძლევთ მოაწყოთ თქვენი კოდის შესრულება ფაილებში შეხების და სისტემის ბრძანებების მითითებით. გრადლეუ и პოდფაილი.

Snyk-ს და WhiteSource-ს დამატებით ჰქონდათ ნაპოვნია სისუსტეები, დაკავშირებული Dockerfile-ის ანალიზისას სისტემის ბრძანებების გაშვების ორგანიზებით (მაგალითად, Snyk-ში, Dockfile-ის საშუალებით, შესაძლებელი იყო სკანერის მიერ გამოძახებული პროგრამის /bin/ls ჩანაცვლება, ხოლო WhiteSurce-ში შესაძლებელი იყო კოდის ჩანაცვლება არგუმენტებით ფორმა „echo ';შეეხეთ /tmp/hacked_whitesource_pip;=1.0 ′").

ანკორის დაუცველობა დაურეკეს უტილიტის გამოყენებით სკოპეო დოკერის სურათებთან მუშაობისთვის. ოპერაცია მთავრდება ისეთი პარამეტრების დამატებამდე, როგორიცაა '"os": "$(touch hacked_anchore)"' manifest.json ფაილში, რომლებიც ჩანაცვლებულია skopeo-ს გამოძახებისას სათანადო გაქცევის გარეშე (მხოლოდ ";&<>" სიმბოლოები ამოჭრილია, მაგრამ კონსტრუქცია "$( )").

იმავე ავტორმა ჩაატარა კვლევა Docker-ის კონტეინერის უსაფრთხოების სკანერების გამოყენებით დაუცველი ხარვეზების იდენტიფიცირების ეფექტურობისა და ცრუ პოზიტივის დონის შესახებ (ნაწილი 1, ნაწილი 2, ნაწილი 3). ქვემოთ მოცემულია 73 სურათის ტესტირების შედეგები, რომლებიც შეიცავს ცნობილ დაუცველობას და ასევე აფასებენ სურათებში ტიპიური აპლიკაციების არსებობის განსაზღვრის ეფექტურობას (nginx, tomcat, haproxy, gunicorn, redis, ruby, node).

წყარო: opennet.ru