Сликите на Alpine Docker се испорачуваат со празна root лозинка

Истражувачи за безбедност на Cisco непокриен информации за ранливост (CVE-2019-5021) во склопови Алпска дистрибуција за системот за изолација на контејнери Docker. Суштината на идентификуваниот проблем е дека стандардната лозинка за root корисникот беше поставена на празна лозинка без блокирање на директното најавување како root. Да се ​​потсетиме дека Alpine се користи за генерирање официјални слики од проектот Docker (претходно официјалните изданија беа базирани на Ubuntu, но потоа имаше преведено на алпски).

Проблемот е присутен уште од изработката на Alpine Docker 3.3 и беше предизвикан од промена на регресијата додадена во 2015 година (пред верзијата 3.3 /etc/shadow ја користеше линијата „root:!::0:::::“, а по депрецијација на знамето „-d“ е додадена линијата „root:::0:::::“). Проблемот првично беше идентификуван и фиксна во ноември 2015 година, но во декември повторно по грешка излезе на површина во build-датотеките на експерименталната гранка, а потоа беше префрлен во стабилни градби.

Информациите за ранливоста наведуваат дека проблемот се појавува и во најновата филијала на Alpine Docker 3.9. Алпски програмери во март ослободен лепенка и ранливост не се појавува почнувајќи со градбите 3.9.2, 3.8.4, 3.7.3 и 3.6.5, но останува во старите гранки 3.4.x и 3.5.x, кои веќе се прекинати. Покрај тоа, програмерите тврдат дека векторот на напад е многу ограничен и бара од напаѓачот да има пристап до истата инфраструктура.

Извор: opennet.ru