ആൽപൈൻ ഡോക്കർ ചിത്രങ്ങൾ ശൂന്യമായ റൂട്ട് പാസ്‌വേഡ് ഉപയോഗിച്ച് അയച്ചു

സിസ്കോ സുരക്ഷാ ഗവേഷകർ അനാവരണം ചെയ്തു അപകടസാധ്യത വിവരങ്ങൾ (CVE-2019-5021). അസംബ്ലികൾ ഡോക്കർ കണ്ടെയ്‌നർ ഐസൊലേഷൻ സിസ്റ്റത്തിനായുള്ള ആൽപൈൻ വിതരണം. നേരിട്ടുള്ള ലോഗിൻ റൂട്ട് തടയാതെ തന്നെ റൂട്ട് ഉപയോക്താവിനുള്ള ഡിഫോൾട്ട് പാസ്‌വേഡ് ഒരു ശൂന്യമായ പാസ്‌വേഡായി സജ്ജീകരിച്ചിരിക്കുന്നു എന്നതാണ് തിരിച്ചറിഞ്ഞ പ്രശ്നത്തിന്റെ സാരം. ഡോക്കർ പ്രോജക്റ്റിൽ നിന്ന് ഔദ്യോഗിക ചിത്രങ്ങൾ ജനറേറ്റുചെയ്യാൻ ആൽപൈൻ ഉപയോഗിക്കുന്നു എന്നത് ഓർക്കുക (മുമ്പ് ഔദ്യോഗിക ബിൽഡുകൾ ഉബുണ്ടു അടിസ്ഥാനമാക്കിയുള്ളതായിരുന്നു, എന്നാൽ പിന്നീട് ഉണ്ടായിരുന്നു പരിഭാഷപ്പെടുത്തി ആൽപൈനിൽ).

ആൽപൈൻ ഡോക്കർ 3.3 ബിൽഡ് മുതൽ ഈ പ്രശ്നം നിലവിലുണ്ട്, 2015-ൽ ചേർത്ത ഒരു റിഗ്രഷൻ മാറ്റം മൂലമാണ് ഇത് സംഭവിച്ചത് (പതിപ്പ് 3.3-ന് മുമ്പ്, /etc/shadow "root:!::0::::" എന്ന വരി ഉപയോഗിച്ചിരുന്നു, അതിന് ശേഷവും "-d" എന്ന പതാകയുടെ മൂല്യനിർണ്ണയം "റൂട്ട്:::0:::::") എന്ന വരി ചേർത്തു. പ്രശ്നം ആദ്യം തിരിച്ചറിഞ്ഞു നിശ്ചിത 2015 നവംബറിൽ, എന്നാൽ ഡിസംബറിൽ വീണ്ടും അബദ്ധത്തിൽ പ്രത്യക്ഷപ്പെട്ടു പരീക്ഷണ ശാഖയുടെ ബിൽഡ് ഫയലുകളിൽ, തുടർന്ന് സ്ഥിരതയുള്ള ബിൽഡുകളിലേക്ക് മാറ്റി.

ആൽപൈൻ ഡോക്കർ 3.9-ന്റെ ഏറ്റവും പുതിയ ശാഖയിലും ഈ പ്രശ്നം ദൃശ്യമാകുന്നതായി ദുർബലത വിവരം പറയുന്നു. മാർച്ചിൽ ആൽപൈൻ ഡെവലപ്പർമാർ പുറത്തിറക്കി ഒത്തുകളിയും ദുർബലതയും കാണുന്നില്ല ബിൽഡുകൾ 3.9.2, 3.8.4, 3.7.3, 3.6.5 എന്നിവയിൽ ആരംഭിക്കുന്നു, എന്നാൽ ഇതിനകം നിർത്തലാക്കിയ പഴയ ശാഖകളായ 3.4.x, 3.5.x എന്നിവയിൽ അവശേഷിക്കുന്നു. കൂടാതെ, ആക്രമണ വെക്റ്റർ വളരെ പരിമിതമാണെന്നും ആക്രമണകാരിക്ക് അതേ ഇൻഫ്രാസ്ട്രക്ചറിലേക്ക് പ്രവേശനം ആവശ്യമാണെന്നും ഡെവലപ്പർമാർ അവകാശപ്പെടുന്നു.

അവലംബം: opennet.ru