अल्पाइन डॉकर इमेज रिकाम्या रूट पासवर्डसह पाठवल्या

सिस्को सुरक्षा संशोधक उघड असुरक्षा माहिती (CVE-2019-5021) मध्ये संमेलने डॉकर कंटेनर अलगाव प्रणालीसाठी अल्पाइन वितरण. ओळखलेल्या समस्येचे सार हे आहे की रूट वापरकर्त्यासाठी डीफॉल्ट पासवर्ड रूट म्हणून थेट लॉगिन अवरोधित न करता रिक्त पासवर्डवर सेट केला होता. लक्षात ठेवा की डॉकर प्रकल्पातून अधिकृत प्रतिमा तयार करण्यासाठी अल्पाइनचा वापर केला जातो (पूर्वी अधिकृत बिल्ड्स उबंटूवर आधारित होत्या, परंतु नंतर तेथे होत्या अनुवादित अल्पाइन वर).

अल्पाइन डॉकर 3.3 बिल्ड झाल्यापासून ही समस्या उपस्थित आहे आणि 2015 मध्ये जोडलेल्या प्रतिगमन बदलामुळे झाली (आवृत्ती 3.3 पूर्वी, /etc/shadow ने "root:!::0::::::", आणि नंतर ध्वज “-d” चे अवमूल्यन करून “root:::0:::::” ही ओळ जोडली जाऊ लागली. समस्या सुरुवातीला ओळखली गेली आणि निश्चित नोव्हेंबर 2015 मध्ये, परंतु डिसेंबरमध्ये पुन्हा चुकून समोर आले प्रायोगिक शाखेच्या बिल्ड फाइल्समध्ये, आणि नंतर स्थिर बिल्डमध्ये हस्तांतरित केले गेले.

असुरक्षितता माहिती सांगते की समस्या अल्पाइन डॉकर 3.9 च्या नवीनतम शाखेत देखील दिसून येते. मार्च मध्ये अल्पाइन विकासक सोडले पॅच आणि भेद्यता दिसत नाही बिल्ड्स 3.9.2, 3.8.4, 3.7.3 आणि 3.6.5 पासून सुरू होते, परंतु जुन्या शाखा 3.4.x आणि 3.5.x मध्ये राहते, ज्या आधीच बंद केल्या गेल्या आहेत. याव्यतिरिक्त, विकासक दावा करतात की आक्रमण वेक्टर खूप मर्यादित आहे आणि आक्रमणकर्त्याला समान पायाभूत सुविधांमध्ये प्रवेश असणे आवश्यक आहे.

स्त्रोत: opennet.ru