Ранливост во безбедносните скенери за слики од контејнери Docker

Објавено резултати од алатките за тестирање за да се идентификуваат незакрпените пропусти и да се идентификуваат безбедносните проблеми во изолираните слики од контејнери на Docker. Ревизијата покажа дека 4 од 6 познати скенери за слики на Docker содржеле критични пропусти што овозможиле директно да се нападне самиот скенер и да се постигне извршување на неговиот код на системот, во некои случаи (на пример, кога се користи Snyk) со права на root.

За да нападне, напаѓачот едноставно треба да започне проверка на неговата Dockerfile или manifest.json, која вклучува специјално дизајнирани метаподатоци, или да постави Podfile и gradlew датотеки во сликата. Искористете ги прототипите успеа да се подготви за системи
Белиот извор, Снајк,
Фоса и
Сидро. Пакетот покажа најдобра безбедност Отстрани, првично напишано со сигурност на ум. Ниту во пакетот не беа утврдени проблеми. Триви. Како резултат на тоа, беше заклучено дека скенерите за контејнери на Docker треба да се извршуваат во изолирани средини или да се користат само за проверка на сопствените слики и дека треба да се внимава кога се поврзуваат таквите алатки со автоматизирани системи за континуирана интеграција.

Во FOSSA, Snyk и WhiteSource, ранливоста беше поврзана со повикување надворешен менаџер на пакети за одредување зависности и ви овозможи да го организирате извршувањето на вашиот код со наведување на командите на допир и систем во датотеките. gradlew и Подфиле.

Snyk и WhiteSource дополнително имаа пронајдени ранливости, поврзани со организација на стартување на команди на системот при парсирање на Dockerfile (на пример, во Snyk, преку Dockfile, беше можно да се замени алатката /bin/ls повикана од скенерот, а во WhiteSurce, беше можно да се замени кодот преку аргументи во формата „echo ';допрете /tmp/hacked_whitesource_pip;=1.0 ′“).

Ранливост на сидро беше наречен користејќи ја алатката скопео за работа со докер слики. Операцијата се сведуваше на додавање параметри како „"os": "$(touch hacked_anchore)"" во датотеката manifest.json, кои се заменуваат при повикување skopeo без соодветно бегство (само знаците ";&<>" беа отсечени, но конструкцијата „$( )“).

Истиот автор спроведе студија за ефективноста на идентификување незакрпени пропусти со помош на безбедносни скенери за контејнери Docker и нивото на лажни позитиви (Дел 1, Дел 2, Дел 3). Подолу се прикажани резултатите од тестирањето на 73 слики кои содржат познати пропусти, а исто така ја оценуваат ефективноста на одредувањето на присуството на типични апликации во сликите (nginx, tomcat, haproxy, gunicorn, redis, ruby, node).

Извор: opennet.ru