빈 루트 비밀번호와 함께 제공되는 Alpine Docker 이미지

Cisco 보안 연구원 폭로 취약점 정보(CVE-2019-5021) 어셈블리 Docker 컨테이너 격리 시스템을 위한 알파인 배포판입니다. 확인된 문제의 본질은 루트 사용자의 기본 비밀번호가 루트로 직접 로그인을 차단하지 않고 빈 비밀번호로 설정되어 있다는 것입니다. Docker 프로젝트에서 공식 이미지를 생성하는 데 Alpine이 사용된다는 점을 기억하세요(이전 공식 빌드는 Ubuntu를 기반으로 했지만 그 이후에는 번역 알파인에서).

이 문제는 Alpine Docker 3.3 빌드부터 존재했으며 2015년에 추가된 회귀 ​​변경으로 인해 발생했습니다(버전 3.3 이전에는 /etc/shadow에서 "root:!::0:::::" 줄을 사용했으며, 플래그 “-d”의 사용 중단으로 “root:::0:::::” 줄이 추가되기 시작했습니다. 문제는 처음에 확인되었으며 결정된 2015년 XNUMX월에 했는데 XNUMX월에 또 실수로 표면 실험 브랜치의 빌드 파일에 포함된 후 안정적인 빌드로 전송되었습니다.

취약점 정보에 따르면 이 문제는 Alpine Docker 3.9의 최신 분기에도 나타납니다. XNUMX월의 알파인 개발자 출시 된 패치와 취약점 보이지 않는다 빌드 3.9.2, 3.8.4, 3.7.3 및 3.6.5로 시작하지만 이미 중단된 이전 분기 3.4.x 및 3.5.x에 남아 있습니다. 또한 개발자들은 공격 벡터가 매우 제한적이며 공격자가 동일한 인프라에 액세스할 수 있어야 한다고 주장합니다.

출처 : opennet.ru