Alpine Docker зургуудыг хоосон эх нууц үгээр илгээсэн

Cisco аюулгүй байдлын судлаачид илэрсэн эмзэг байдлын мэдээлэл (CVE-2019-5021). чуулганууд Docker контейнер тусгаарлах системд зориулсан Alpine хуваарилалт. Тодорхойлсон асуудлын мөн чанар нь root хэрэглэгчийн анхдагч нууц үгийг root хэлбэрээр шууд нэвтрэхийг хориглохгүйгээр хоосон нууц үгээр тохируулсан явдал юм. Alpine нь Docker төслөөс албан ёсны зураг үүсгэхэд ашиглагддаг гэдгийг санацгаая (өмнө нь албан ёсны бүтээн байгуулалтууд нь Ubuntu дээр суурилсан байсан, гэхдээ дараа нь тэнд байсан. орчуулсан Альпийн нуруунд).

Асуудал нь Alpine Docker 3.3-ийг бүтээснээс хойш үүссэн бөгөөд 2015 онд нэмэгдсэн регрессийн өөрчлөлтөөс үүдэлтэй (3.3 хувилбараас өмнө /etc/shadow "root:!::0:::::" мөрийг ашигласан ба дараа нь “-d” тугийг хуучирсан нь “root:::0:::::” гэсэн мөрийг нэмж эхэлсэн. Асуудлыг анх тодорхойлсон ба тогтмол 2015 оны XNUMX-р сард, гэхдээ XNUMX-р сард дахин алдаагаар гадаргуутай туршилтын салбарын барилгын файлд, дараа нь тогтвортой бүтэц рүү шилжүүлсэн.

Эмзэг байдлын мэдээлэлд энэ асуудал Alpine Docker 3.9-ийн хамгийн сүүлийн үеийн салбар дээр бас гарч байгааг харуулж байна. Гуравдугаар сард Альпийн хөгжүүлэгчид гаргасан засвар болон эмзэг байдал харагдахгүй байна 3.9.2, 3.8.4, 3.7.3, 3.6.5 хувилбаруудаас эхэлсэн боловч аль хэдийн зогссон хуучин 3.4.x болон 3.5.x салбаруудад хэвээр байна. Нэмж дурдахад, хөгжүүлэгчид халдлагын вектор нь маш хязгаарлагдмал бөгөөд халдагчийг ижил дэд бүтцэд хандахыг шаарддаг гэж мэдэгджээ.

Эх сурвалж: opennet.ru