ភាពងាយរងគ្រោះនៅក្នុងម៉ាស៊ីនស្កេនសុវត្ថិភាពសម្រាប់រូបភាព Docker container

បោះពុម្ពផ្សាយ លទ្ធផលពីឧបករណ៍សាកល្បងដើម្បីកំណត់អត្តសញ្ញាណភាពងាយរងគ្រោះដែលមិនបានជួសជុល និងកំណត់បញ្ហាសុវត្ថិភាពនៅក្នុងរូបភាពធុង Docker ដាច់ដោយឡែក។ ការធ្វើសវនកម្មបានបង្ហាញថា 4 ក្នុងចំណោម 6 ម៉ាស៊ីនស្កេនរូបភាព Docker ដែលគេស្គាល់មានភាពងាយរងគ្រោះដែលធ្វើឱ្យវាអាចវាយប្រហារម៉ាស៊ីនស្កេនដោយផ្ទាល់ និងសម្រេចបាននូវការប្រតិបត្តិកូដរបស់វានៅលើប្រព័ន្ធ ក្នុងករណីខ្លះ (ឧទាហរណ៍នៅពេលប្រើ Snyk) ជាមួយនឹងសិទ្ធិជា root ។

ដើម្បីវាយប្រហារ អ្នកវាយប្រហារគ្រាន់តែត្រូវចាប់ផ្តើមការត្រួតពិនិត្យ Dockerfile ឬ manifest.json របស់គាត់ ដែលរួមបញ្ចូលទិន្នន័យមេតាដែលបានរចនាឡើងជាពិសេស ឬដាក់ឯកសារ Podfile និង gradlew នៅខាងក្នុងរូបភាព។ ទាញយកគំរូដើម បានគ្រប់គ្រងដើម្បីរៀបចំ សម្រាប់ប្រព័ន្ធ
ប្រភព, សេនីក,
ហ្វូសសា и
យុថ្កា. កញ្ចប់បានបង្ហាញពីសុវត្ថិភាពល្អបំផុត លោកស្រី Clairដើមឡើយសរសេរដោយសុវត្ថិភាពក្នុងចិត្ត។ មិនមានបញ្ហាត្រូវបានរកឃើញនៅក្នុងកញ្ចប់នោះទេ។ មិនស្មោះត្រង់. ជាលទ្ធផល វាត្រូវបានសន្និដ្ឋានថា ឧបករណ៍ស្កែនកុងតឺន័រ Docker គួរតែដំណើរការក្នុងបរិយាកាសដាច់ពីគេ ឬប្រើសម្រាប់តែពិនិត្យមើលរូបភាពរបស់ពួកគេប៉ុណ្ណោះ ហើយការប្រុងប្រយ័ត្ននោះគួរតែត្រូវបានអនុវត្តនៅពេលភ្ជាប់ឧបករណ៍បែបនេះទៅនឹងប្រព័ន្ធរួមបញ្ចូលជាបន្តបន្ទាប់ដោយស្វ័យប្រវត្តិ។

នៅក្នុង FOSSA, Snyk និង WhiteSource ភាពងាយរងគ្រោះត្រូវបានផ្សារភ្ជាប់ជាមួយនឹងការហៅទៅកាន់អ្នកគ្រប់គ្រងកញ្ចប់ខាងក្រៅដើម្បីកំណត់ភាពអាស្រ័យ និងអនុញ្ញាតឱ្យអ្នករៀបចំការប្រតិបត្តិនៃកូដរបស់អ្នកដោយបញ្ជាក់ការប៉ះ និងពាក្យបញ្ជាប្រព័ន្ធនៅក្នុងឯកសារ។ ជម្រាល и Podfile.

Snyk និង WhiteSource ក៏មានផងដែរ។ បានរកឃើញ ភាពងាយរងគ្រោះ, ពាក់ព័ន្ធ ជាមួយនឹងការរៀបចំនៃការបើកដំណើរការពាក្យបញ្ជាប្រព័ន្ធនៅពេលញែក Dockerfile (ឧទាហរណ៍នៅក្នុង Snyk តាមរយៈ Dockefile វាអាចជំនួសឧបករណ៍ប្រើប្រាស់ /bin/ls ដែលហៅដោយម៉ាស៊ីនស្កេន ហើយនៅក្នុង WhiteSurce វាអាចជំនួសកូដតាមរយៈអាគុយម៉ង់នៅក្នុង ទម្រង់ “echo ';touch /tmp/hacked_whitesource_pip;=1.0 ′”) ។

ភាពងាយរងគ្រោះនៃយុថ្កា ត្រូវ​បាន​ហៅ ដោយប្រើឧបករណ៍ប្រើប្រាស់ ស្កូប៉េអូ សម្រាប់ធ្វើការជាមួយរូបភាព docker ។ ប្រតិបត្តិការបានធ្លាក់ចុះដល់ការបន្ថែមប៉ារ៉ាម៉ែត្រដូចជា '"os": "$(touch hacked_anchore)"' ទៅឯកសារ manifest.json ដែលត្រូវបានជំនួសនៅពេលហៅ skopeo ដោយមិនមានការគេចចេញត្រឹមត្រូវ (មានតែតួអក្សរ ";&<>" ប៉ុណ្ណោះដែលត្រូវបានកាត់ចេញ។ ប៉ុន្តែការសាងសង់ "$()") ។

អ្នកនិពន្ធដដែលបានធ្វើការសិក្សាអំពីប្រសិទ្ធភាពនៃការកំណត់អត្តសញ្ញាណភាពងាយរងគ្រោះដែលមិនបានជួសជុលដោយប្រើម៉ាស៊ីនស្កេនសុវត្ថិភាពកុងតឺន័រ Docker និងកម្រិតនៃភាពវិជ្ជមានមិនពិត (ផ្នែកទី ២, ផ្នែកទី ២, ផ្នែកទី ២) ខាងក្រោមនេះគឺជាលទ្ធផលនៃការសាកល្បងរូបភាពចំនួន 73 ដែលមានភាពងាយរងគ្រោះដែលគេស្គាល់ ហើយថែមទាំងវាយតម្លៃប្រសិទ្ធភាពនៃការកំណត់វត្តមាននៃកម្មវិធីធម្មតានៅក្នុងរូបភាព (nginx, tomcat, haproxy, gunicorn, redis, ruby, node)។

ប្រភព: opennet.ru