19% ຂອງຮູບ Docker ເທິງສຸດບໍ່ມີລະຫັດຜ່ານຮາກ

ວັນເສົາທີ່ຜ່ານມາ, 18 ພຶດສະພາ, Jerry Gamblin ຂອງ Kenna Security ກວດແລ້ວ 1000 ຮູບພາບທີ່ນິຍົມຫຼາຍທີ່ສຸດຈາກ Docker Hub ໂດຍລະຫັດຜ່ານທີ່ພວກເຂົາໃຊ້ສໍາລັບຜູ້ໃຊ້ຮາກ. ໃນ 19% ຂອງກໍລະນີມັນໄດ້ກາຍເປັນຫວ່າງເປົ່າ.

ພື້ນຫລັງກັບ Alpine

ເຫດຜົນສໍາລັບການສຶກສາ mini ແມ່ນບົດລາຍງານຄວາມອ່ອນແອຂອງ Talos ທີ່ປາກົດໃນຕົ້ນເດືອນນີ້ (TALOS-2019-0782), ຜູ້ຂຽນທີ່ - ຂໍຂອບໃຈກັບການຄົ້ນພົບຂອງ Peter Adkins ຈາກ Cisco Umbrella - ລາຍງານວ່າຮູບພາບ Docker ທີ່ມີການແຈກຢາຍຖັງບັນຈຸ Alpine ທີ່ນິຍົມບໍ່ມີລະຫັດຜ່ານຮາກ:

“ເວີຊັນທີ່ເປັນທາງການຂອງຮູບ Alpine Linux Docker (ເລີ່ມຕົ້ນຈາກ v3.3) ມີລະຫັດຜ່ານ NULL ສໍາລັບຜູ້ໃຊ້ຮາກ. ຊ່ອງ​ໂຫວ່​ນີ້​ໄດ້​ປະກົດ​ເປັນ​ຜົນ​ມາ​ຈາກ​ການ​ຖົດ​ຖອຍ​ທີ່​ສະ​ເໜີ​ໃນ​ເດືອນ​ທັນວາ 2015. ໂດຍເນື້ອແທ້ແລ້ວຂອງມັນຕົ້ມລົງກັບຄວາມຈິງທີ່ວ່າລະບົບທີ່ໃຊ້ກັບເວີຊັນທີ່ມີບັນຫາຂອງ Alpine Linux ໃນຖັງແລະການນໍາໃຊ້ Linux PAM ຫຼືກົນໄກອື່ນທີ່ໃຊ້ໄຟລ໌ເງົາຂອງລະບົບເປັນຖານຂໍ້ມູນສໍາລັບການພິສູດຢືນຢັນສາມາດຍອມຮັບລະຫັດຜ່ານ null (NULL) ສໍາລັບຜູ້ໃຊ້ຮາກ.

ເວີຊັນຂອງຮູບພາບ Alpine Docker ທີ່ທົດສອບບັນຫາແມ່ນ 3.3-3.9 ລວມໄປເຖິງ, ເຊັ່ນດຽວກັນກັບການເປີດຕົວຫຼ້າສຸດຂອງ edge.

ຜູ້ຂຽນໄດ້ແນະນໍາຕໍ່ໄປນີ້ກັບຜູ້ໃຊ້ທີ່ໄດ້ຮັບຜົນກະທົບ:

“ບັນຊີຮາກຕ້ອງຖືກປິດການນຳໃຊ້ຢ່າງຈະແຈ້ງໃນຮູບພາບ Docker ທີ່ສ້າງຂຶ້ນຈາກເວີຊັນທີ່ມີບັນຫາຂອງ Alpine. ຄວາມເປັນໄປໄດ້ຂອງການຂູດຮີດຊ່ອງໂຫວ່ແມ່ນຂຶ້ນກັບສະພາບແວດລ້ອມ, ເນື່ອງຈາກວ່າຄວາມສໍາເລັດຂອງມັນຮຽກຮ້ອງໃຫ້ມີການບໍລິການສົ່ງຕໍ່ພາຍນອກຫຼືຄໍາຮ້ອງສະຫມັກໂດຍໃຊ້ Linux PAM ຫຼືກົນໄກທີ່ຄ້າຍຄືກັນອື່ນໆ.

ບັນຫາແມ່ນ ລົບລ້າງ ໃນ Alpine ເວີຊັ່ນ 3.6.5, 3.7.3, 3.8.4, 3.9.2 ແລະ edge (ພາບຖ່າຍ 20190228), ແລະເຈົ້າຂອງຮູບພາບທີ່ຖືກກະທົບໄດ້ຖືກຂໍໃຫ້ອອກຄໍາຄິດເຫັນເສັ້ນທີ່ມີຮາກໃນ /etc/shadow ຫຼືໃຫ້ແນ່ໃຈວ່າຊຸດທີ່ຂາດຫາຍໄປ linux-pam.

ສືບຕໍ່ຈາກ Docker Hub

Jerry Gamblin ຕັດສິນໃຈສອບຖາມກ່ຽວກັບ "ການປະຕິບັດທົ່ວໄປຂອງການໃຊ້ລະຫັດຜ່ານ null ໃນ containers ອາດຈະເປັນແນວໃດ." ເພື່ອເຮັດສິ່ງນີ້, ລາວຂຽນເປັນຂະຫນາດນ້ອຍ bash script, ໂດຍເນື້ອແທ້ແລ້ວແມ່ນງ່າຍດາຍຫຼາຍ:

• ໂດຍຜ່ານການຮ້ອງຂໍ curl ກັບ API ໃນ Docker Hub, ບັນຊີລາຍຊື່ຂອງຮູບພາບ Docker ທີ່ໂຮດຢູ່ທີ່ນັ້ນຖືກຮ້ອງຂໍ;
• ຜ່ານ jq ມັນຈັດຮຽງຕາມພາກສະຫນາມ popularity, ແລະຈາກຜົນໄດ້ຮັບທີ່ໄດ້ຮັບ, ພັນທໍາອິດທີ່ຍັງເຫຼືອ;
• ສໍາ​ລັບ​ພວກ​ເຂົາ​ແຕ່​ລະ​, docker pull;
• ສໍາລັບແຕ່ລະຮູບພາບທີ່ໄດ້ຮັບຈາກ Docker Hub, docker run ອ່ານແຖວທຳອິດຈາກໄຟລ໌ /etc/shadow;
• ຖ້າຄ່າສະຕຣິງເທົ່າກັບ root:::0:::::, ຊື່ຮູບພາບໄດ້ຖືກບັນທຶກໄວ້ໃນໄຟລ໌ແຍກຕ່າງຫາກ.

ເກີດ​ຫຍັງ​ຂຶ້ນ? IN ໄຟລ໌ນີ້ ມີ 194 ແຖວທີ່ມີຊື່ຂອງຮູບພາບ Docker ທີ່ນິຍົມກັບລະບົບ Linux, ເຊິ່ງຜູ້ໃຊ້ຮາກບໍ່ມີລະຫັດຜ່ານທີ່ກໍານົດໄວ້:

“ໃນບັນດາຊື່ທີ່ມີຊື່ສຽງທີ່ສຸດໃນບັນຊີລາຍຊື່ນີ້ແມ່ນ govuk/governmentpaas, hashicorp, microsoft, monsanto ແລະ mesosphere. ແລະ kylemanna / openvpn ແມ່ນບັນຈຸທີ່ນິຍົມທີ່ສຸດໃນບັນຊີລາຍຊື່, ມີຫຼາຍກວ່າ 10 ລ້ານດຶງ."

ຢ່າງໃດກໍຕາມ, ມັນເປັນມູນຄ່າ recalling ວ່າປະກົດການນີ້ໃນຕົວຂອງມັນເອງບໍ່ໄດ້ຫມາຍຄວາມວ່າເປັນຈຸດອ່ອນໂດຍກົງໃນຄວາມປອດໄພຂອງລະບົບທີ່ນໍາໃຊ້ພວກມັນ: ມັນທັງຫມົດແມ່ນຂຶ້ນກັບວິທີການທີ່ເຂົາເຈົ້າຖືກນໍາໃຊ້. (ເບິ່ງຄໍາເຫັນຈາກກໍລະນີ Alpine ຂ້າງເທິງ). ຢ່າງໃດກໍຕາມ, ພວກເຮົາໄດ້ເຫັນ "ສິນທໍາຂອງເລື່ອງນີ້" ຫຼາຍເທື່ອແລ້ວ: ຄວາມງ່າຍດາຍທີ່ປາກົດຂື້ນມັກຈະມີຂໍ້ເສຍ, ທ່ານຄວນຈື່ຈໍາໄວ້ສະເຫມີແລະຄໍານຶງເຖິງຜົນສະທ້ອນຂອງສະຖານະການຂອງທ່ານໃນການນໍາໃຊ້ເຕັກໂນໂລຢີ.

PS

ອ່ານຍັງຢູ່ໃນ blog ຂອງພວກເຮົາ:

• «ສະຖິຕິກ່ຽວກັບລະບົບປະຕິບັດການພື້ນຖານໃນຮູບພາບໃນ Docker Hub"
• «Docker ແລະ Kubernetes ໃນສະພາບແວດລ້ອມທີ່ຕ້ອງການຄວາມປອດໄພ"
• «ຊ່ອງໂຫວ່ CVE-2019-5736 ໃນ runc, ອະນຸຍາດໃຫ້ໄດ້ຮັບສິດທິຮາກຢູ່ໃນໂຮດ"
• «Docker VM ທີ່ມີຄວາມສ່ຽງ - ເຄື່ອງສະເໝືອນປິດສະໜາສຳລັບ Docker ແລະ pentesting".

ແຫຼ່ງຂໍ້ມູນ: www.habr.com