19.4% នៃធុង Docker កំពូលទាំង 1000 មានពាក្យសម្ងាត់ root ទទេ

លោក Jerry Gamblin បានសម្រេចចិត្តស្វែងរកថាតើការរីករាលដាលដែលត្រូវបានកំណត់អត្តសញ្ញាណថ្មី។ បញ្ហា នៅក្នុងរូបភាព Docker នៃការចែកចាយ Alpine ដែលភ្ជាប់ជាមួយនឹងការបញ្ជាក់ពាក្យសម្ងាត់ទទេសម្រាប់អ្នកប្រើប្រាស់ root ។ ការវិភាគនៃធុងពេញនិយមបំផុតរាប់ពាន់ពីកាតាឡុក Docker Hub បានបង្ហាញ, អ្វីដែលនៅក្នុង 194 ក្នុងចំណោមទាំងនេះ (19.4%) ពាក្យសម្ងាត់ទទេត្រូវបានកំណត់សម្រាប់ការ root ដោយមិនចាក់សោគណនី ("root:::0:::::" ជំនួសឱ្យ "root:!::0:::::") ។

ប្រសិនបើកុងតឺន័រប្រើកញ្ចប់ស្រមោល និង linux-pam សូមប្រើពាក្យសម្ងាត់ root ទទេ វាអនុញ្ញាតឱ្យ បង្កើនសិទ្ធិរបស់អ្នកនៅក្នុងកុងតឺន័រ ប្រសិនបើអ្នកមានសិទ្ធិចូលប្រើកុងតឺន័រដោយមិនមានសិទ្ធិប្រើប្រាស់ ឬបន្ទាប់ពីទាញយកភាពងាយរងគ្រោះនៅក្នុងសេវាកម្មដែលមិនមានសិទ្ធិដំណើរការនៅក្នុងកុងតឺន័រ។ អ្នកក៏អាចភ្ជាប់ទៅកុងតឺន័រដោយប្រើសិទ្ធិជា root ប្រសិនបើអ្នកមានសិទ្ធិចូលប្រើហេដ្ឋារចនាសម្ព័ន្ធ ពោលគឺឧ។ សមត្ថភាពក្នុងការភ្ជាប់តាមរយៈស្ថានីយទៅ TTY ដែលបានបញ្ជាក់នៅក្នុងបញ្ជី /etc/securetty ។ ការចូលដោយប្រើពាក្យសម្ងាត់ទទេត្រូវបានរារាំងតាមរយៈ SSH ។

ពេញនិយមបំផុតក្នុងចំណោម ធុងដែលមានពាក្យសម្ងាត់ root ទទេ គឺ microsoft/azure-cli, kylemanna/openvpn, governmentpaas/s3-ធនធាន, phpmyadmin/phpmyadmin, mesosphere/aws-cli и hashicorp/terraformដែលមានការទាញយកជាង 10 លានដង។ ធុងក៏ត្រូវបានបន្លិចផងដែរ។
govuk/gemstash-alpine (500 ពាន់), monsantoco/logstash (៣៥១លាន),
avhost/docker-matrix-riot (៣៥១លាន),
azuresdk/azure-cli-python (១៤៨,៧លាន)
и ciscocloud/haproxy-consul (1 លាន)។ ស្ទើរតែទាំងអស់នៃធុងទាំងនេះគឺផ្អែកលើ Alpine និងមិនប្រើកញ្ចប់ស្រមោល និង linux-pam ។ ករណីលើកលែងតែមួយគត់គឺ microsoft/azure-cli ផ្អែកលើ Debian ។

ប្រភព: opennet.ru