शीर्ष 19.4 डॉकर कंटेनरपैकी 1000% मध्ये रिक्त रूट पासवर्ड असतो

जेरी गॅम्बलिनने नव्याने ओळखले जाणारे किती व्यापक आहे हे शोधण्याचा निर्णय घेतला समस्या अल्पाइन वितरणाच्या डॉकर प्रतिमांमध्ये, रूट वापरकर्त्यासाठी रिक्त पासवर्ड निर्दिष्ट करण्याशी संबंधित. डॉकर हब कॅटलॉगमधील हजारो सर्वात लोकप्रिय कंटेनरचे विश्लेषण दर्शविले, काय मध्ये 194 यापैकी (19.4%) खाते लॉक न करता रूटसाठी रिक्त पासवर्ड सेट केला आहे (“रूट:!::0::::::” ऐवजी “रूट:::0:::::”).

कंटेनर सावली आणि linux-pam पॅकेजेस वापरत असल्यास, रिक्त रूट पासवर्ड वापरा तो संमत जर तुम्हाला कंटेनरमध्ये अनाधिकृत प्रवेश असेल किंवा कंटेनरमध्ये चालत असलेल्या अनप्रिव्हिलेज्ड सेवेतील असुरक्षिततेचा गैरफायदा घेतल्यास कंटेनरमध्ये तुमचे विशेषाधिकार वाढवा. जर तुम्हाला पायाभूत सुविधांमध्ये प्रवेश असेल तर तुम्ही रूट अधिकारांसह कंटेनरशी देखील कनेक्ट करू शकता, म्हणजे. /etc/securetty सूचीमध्ये निर्दिष्ट केलेल्या TTY शी टर्मिनलद्वारे कनेक्ट करण्याची क्षमता. रिक्त पासवर्डसह लॉगिन SSH द्वारे अवरोधित केले आहे.

मध्ये सर्वात लोकप्रिय रिक्त रूट पासवर्डसह कंटेनर आहेत microsoft/azure-cli, kylemanna/openvpn, governmentpaas/s3-संसाधन, phpmyadmin/phpmyadmin, mesosphere/aws-cli и हॅशीकॉर्प/टेराफॉर्म, ज्यांचे 10 दशलक्षाहून अधिक डाउनलोड आहेत. कंटेनर देखील हायलाइट केले आहेत
govuk/gemstash-alpine (५०० हजार), monsantoco/logstash (5 दशलक्ष),
avhost/docker-matrix-riot (1 दशलक्ष),
azuresdk/azure-cli-python (१४८.७ दशलक्ष)
и ciscocloud/haproxy-consul (1 दशलक्ष). यापैकी जवळजवळ सर्व कंटेनर अल्पाइनवर आधारित आहेत आणि सावली आणि लिनक्स-पॅम पॅकेजेस वापरत नाहीत. डेबियनवर आधारित microsoft/azure-cli हा एकमेव अपवाद आहे.

स्त्रोत: opennet.ru