शीर्ष डॉकर प्रतिमांपैकी 19% मध्ये रूट पासवर्ड नाही

गेल्या शनिवारी, मे 18, केन्ना सिक्युरिटीचे जेरी गॅम्बलिन तपासले डॉकर हबमधील 1000 सर्वात लोकप्रिय प्रतिमा ते रूट वापरकर्त्यासाठी वापरत असलेल्या पासवर्डद्वारे. 19% प्रकरणांमध्ये ते रिक्त असल्याचे दिसून आले.

अल्पाइन सह पार्श्वभूमी

मिनी-अभ्यासाचे कारण म्हणजे या महिन्याच्या सुरुवातीला आलेला टॅलोस असुरक्षितता अहवाल (TALOS-2019-0782), ज्याच्या लेखकांनी - सिस्को अंब्रेला मधील पीटर अॅडकिन्सच्या शोधाबद्दल धन्यवाद - नोंदवले की लोकप्रिय अल्पाइन कंटेनर वितरणासह डॉकर प्रतिमांना रूट पासवर्ड नाही:

“अल्पाइन लिनक्स डॉकर प्रतिमांच्या अधिकृत आवृत्त्यांमध्ये (v3.3 पासून सुरू होणारी) रूट वापरकर्त्यासाठी एक शून्य पासवर्ड आहे. डिसेंबर 2015 मध्ये सादर केलेल्या प्रतिगमनाच्या परिणामी ही असुरक्षा दिसून आली. अल्पाइन लिनक्सच्या समस्याप्रधान आवृत्त्यांसह कंटेनरमध्ये तैनात केलेल्या आणि Linux PAM किंवा प्रमाणीकरणासाठी डेटाबेस म्हणून सिस्टीम शॅडो फाइल वापरणारी दुसरी यंत्रणा वापरणाऱ्या सिस्टीम रूट वापरकर्त्यासाठी शून्य (NULL) पासवर्ड स्वीकारू शकतात.

समस्येसाठी चाचणी केलेल्या अल्पाइन डॉकर प्रतिमांच्या आवृत्त्या 3.3-3.9 समावेशक होत्या, तसेच एजचे नवीनतम प्रकाशन.

लेखकांनी प्रभावित वापरकर्त्यांना खालील शिफारसी केल्या आहेत:

“अल्पाइनच्या समस्याग्रस्त आवृत्त्यांमधून तयार केलेल्या डॉकर प्रतिमांमध्ये रूट खाते स्पष्टपणे अक्षम केले जाणे आवश्यक आहे. असुरक्षिततेचे संभाव्य शोषण पर्यावरणावर अवलंबून असते, कारण त्याच्या यशासाठी Linux PAM किंवा इतर तत्सम यंत्रणा वापरून बाह्यरित्या अग्रेषित केलेली सेवा किंवा अनुप्रयोग आवश्यक असतो.

समस्या होती काढून टाकले अल्पाइन आवृत्त्यांमध्ये 3.6.5, 3.7.3, 3.8.4, 3.9.2 आणि edge (20190228 स्नॅपशॉट), आणि प्रभावित प्रतिमांच्या मालकांना रूट इनसह ओळ टिप्पणी करण्यास सांगितले होते /etc/shadow किंवा पॅकेज गहाळ असल्याची खात्री करा linux-pam.

डॉकर हब पासून पुढे

जेरी गॅम्बलिनने "कंटेनरमध्ये शून्य पासवर्ड वापरण्याची प्रथा किती सामान्य आहे" याबद्दल चौकशी करण्याचे ठरवले. हे करण्यासाठी, त्याने एक लहान लिहिले बॅश स्क्रिप्ट, ज्याचे सार अगदी सोपे आहे:

• डॉकर हबमधील API ला कर्ल विनंतीद्वारे, तेथे होस्ट केलेल्या डॉकर प्रतिमांची सूची विनंती केली जाते;
• jq द्वारे ते फील्डनुसार क्रमवारी लावते popularity, आणि मिळालेल्या निकालांवरून, पहिले हजार शिल्लक आहेत;
• त्या प्रत्येकासाठी, docker pull;
• डॉकर हबकडून प्राप्त झालेल्या प्रत्येक प्रतिमेसाठी, docker run फाइलमधून पहिली ओळ वाचत आहे /etc/shadow;
• जर स्ट्रिंग मूल्य समान असेल root:::0:::::, प्रतिमेचे नाव वेगळ्या फाईलमध्ये सेव्ह केले आहे.

काय झालं? IN ही फाइल लिनक्स सिस्टमसह लोकप्रिय डॉकर प्रतिमांच्या नावांसह 194 ओळी होत्या, ज्यामध्ये रूट वापरकर्त्याकडे पासवर्ड सेट नाही:

“या यादीतील सर्वात प्रसिद्ध नावांमध्ये govuk/governmentpaas, hashicorp, microsoft, monsanto आणि mesosphere यांचा समावेश होता. आणि kylemanna/openvpn हा यादीतील सर्वात लोकप्रिय कंटेनर आहे, ज्यामध्ये 10 दशलक्ष पेक्षा जास्त पुल आहेत.”

तथापि, हे लक्षात ठेवण्यासारखे आहे की या घटनेचा स्वतःचा अर्थ असा नाही की त्यांचा वापर करणार्‍या सिस्टमच्या सुरक्षिततेमध्ये थेट असुरक्षा आहे: हे सर्व ते कसे वापरतात यावर अवलंबून असते. (वरील अल्पाइन केसमधील टिप्पणी पहा). तथापि, आम्ही "या कथेची नैतिकता" बर्याच वेळा पाहिली आहे: उघड साधेपणामध्ये अनेकदा नकारात्मक बाजू असतात, जे आपण नेहमी लक्षात ठेवले पाहिजे आणि तंत्रज्ञान वापरण्याच्या आपल्या परिस्थितींमध्ये त्याचे परिणाम लक्षात घेतले पाहिजेत.

PS

आमच्या ब्लॉगवर देखील वाचा:

• «डॉकर हबवरील प्रतिमांमधील बेस ऑपरेटिंग सिस्टमवरील आकडेवारी";
• «सुरक्षा-मागणी वातावरणात डॉकर आणि कुबर्नेट्स";
• «असुरक्षितता CVE-2019-5736 रनसीमध्ये, यजमानावर मूळ अधिकार मिळविण्यास अनुमती देते";
• «असुरक्षित डॉकर व्हीएम - डॉकर आणि पेंटेस्टिंगसाठी एक कोडे आभासी मशीन».

स्त्रोत: www.habr.com