डॉकर कंटेनर प्रतिमांसाठी सुरक्षा स्कॅनरमधील भेद्यता

प्रकाशित अनपॅच नसलेल्या भेद्यता ओळखण्यासाठी आणि वेगळ्या डॉकर कंटेनर प्रतिमांमध्ये सुरक्षा समस्या ओळखण्यासाठी चाचणी साधनांचे परिणाम. ऑडिटमध्ये असे दिसून आले आहे की 4 पैकी 6 ज्ञात डॉकर इमेज स्कॅनरमध्ये गंभीर असुरक्षा आहेत ज्यामुळे स्कॅनरवर थेट हल्ला करणे आणि सिस्टमवर त्याच्या कोडची अंमलबजावणी करणे शक्य झाले, काही प्रकरणांमध्ये (उदाहरणार्थ, Snyk वापरताना) रूट अधिकारांसह.

हल्ला करण्यासाठी, आक्रमणकर्त्याला फक्त त्याच्या डॉकरफाईल किंवा manifest.json ची तपासणी करणे आवश्यक आहे, ज्यामध्ये विशेषतः डिझाइन केलेला मेटाडेटा समाविष्ट आहे, किंवा Podfile आणि gradlew फाइल्स इमेजमध्ये ठेवा. प्रोटोटाइपचे शोषण करा तयार करण्यात व्यवस्थापित प्रणालींसाठी
व्हाइटसोर्स, Snyk,
फोसा и
अँकर. पॅकेजने सर्वोत्तम सुरक्षा दर्शविली करण, मूलतः सुरक्षितता लक्षात घेऊन लिहिलेले. पॅकेजमध्ये कोणतीही समस्या ओळखली गेली नाही. त्रिवेणी. परिणामी, असा निष्कर्ष काढण्यात आला की डॉकर कंटेनर स्कॅनर वेगळ्या वातावरणात चालवले जावे किंवा केवळ त्यांच्या स्वतःच्या प्रतिमा तपासण्यासाठी वापरले जावे आणि अशा साधनांना स्वयंचलित सतत एकत्रीकरण प्रणालीशी जोडताना सावधगिरी बाळगली पाहिजे.

FOSSA, Snyk आणि WhiteSource मध्ये, अवलंबित्व निर्धारित करण्यासाठी बाह्य पॅकेज मॅनेजरला कॉल करण्याशी असुरक्षितता संबंधित होती आणि फायलींमध्ये टच आणि सिस्टम कमांड निर्दिष्ट करून तुम्हाला तुमच्या कोडची अंमलबजावणी आयोजित करण्याची परवानगी दिली. gradlew и पॉडफाईल.

Snyk आणि WhiteSource सोबत होते आढळले असुरक्षा, संबंधित डॉकरफाइलचे पार्सिंग करताना सिस्टम कमांड लाँच करण्याच्या संस्थेसह (उदाहरणार्थ, Snyk मध्ये, डॉकफाइलद्वारे, स्कॅनरद्वारे कॉल केलेली /bin/ls युटिलिटी बदलणे शक्य होते आणि व्हाईटसूर्समध्ये, वितर्कांद्वारे कोड बदलणे शक्य होते. फॉर्म “echo';touch /tmp/hacked_whitesource_pip;=1.0 ′").

अँकर भेद्यता बोलावले होते उपयुक्तता वापरून स्कोपिओ डॉकर प्रतिमांसह कार्य करण्यासाठी. manifest.json फाईलमध्ये '"os": "$(touch hacked_anchore)"' सारखे पॅरामीटर्स जोडण्यासाठी ऑपरेशन उकळले, जे योग्य सुटल्याशिवाय skopeo कॉल करताना बदलले गेले (केवळ ";&<>" वर्ण कापले गेले, पण बांधकाम "$( )").

त्याच लेखकाने डॉकर कंटेनर सुरक्षा स्कॅनर वापरून अनपॅच नसलेल्या असुरक्षा ओळखण्याच्या प्रभावीतेचा आणि चुकीच्या सकारात्मकतेच्या पातळीचा अभ्यास केला (1, 2, 3). खाली ज्ञात असुरक्षा असलेल्या 73 प्रतिमांच्या चाचणीचे परिणाम आहेत आणि प्रतिमांमध्ये (nginx, tomcat, haproxy, gunicorn, redis, ruby, node) वैशिष्ट्यपूर्ण ऍप्लिकेशन्सची उपस्थिती निर्धारित करण्याच्या परिणामकारकतेचे देखील मूल्यांकन करा.

स्त्रोत: opennet.ru