शीर्ष डकर छविहरूको 19% मा रूट पासवर्ड छैन

पछिल्लो शनिबार, मे 18, केन्ना सुरक्षा को जेरी ग्याम्बलिन जाँच गरियो डकर हबबाट 1000 सबैभन्दा लोकप्रिय छविहरू तिनीहरूले प्रयोग गर्ने मूल पासवर्डमा आधारित छन्। 19% केसहरूमा यो खाली थियो।

अल्पाइन संग पृष्ठभूमि

मिनी-अनुसन्धानको कारण थियो Talos Vulnerability Report जुन यस महिनाको सुरुमा देखा पर्‍यो (TALOS-2019-0782), जसका लेखकहरू - सिस्को अम्ब्रेलाबाट पिटर एडकिन्सको खोजको लागि धन्यवाद - लोकप्रिय अल्पाइन कन्टेनर वितरणको साथ डकर छविहरूमा रूट पासवर्ड छैन भनेर रिपोर्ट गरियो:

"अल्पाइन लिनक्स डकर छविहरूको आधिकारिक संस्करणहरू (v3.3 पछि) मा रूट प्रयोगकर्ताको लागि एक NULL पासवर्ड समावेश गर्दछ। यो जोखिम डिसेम्बर 2015 मा पेश गरिएको प्रतिगमनको परिणाम हो। यसको सार यो हो कि कन्टेनरमा अल्पाइन लिनक्सको समस्याग्रस्त संस्करणहरू र Linux PAM वा प्रमाणीकरण डाटाबेसको रूपमा प्रणाली छाया फाइल प्रयोग गर्ने अर्को मेकानिजम प्रयोग गरी प्रणालीहरूले रूट प्रयोगकर्ताको लागि NULL पासवर्ड स्वीकार गर्न सक्छ।"

समस्याको लागि परीक्षण गरिएको अल्पाइनसँग डकर छविहरूको संस्करणहरू 3.3–3.9 समावेशी थिए, साथै किनाराको पछिल्लो रिलीज।

लेखकहरूले प्रभावित प्रयोगकर्ताहरूको लागि निम्न सिफारिसहरू गरे:

"अल्पाइनको समस्याग्रस्त संस्करणहरूबाट निर्मित डकर छविहरूमा मूल खाता स्पष्ट रूपमा असक्षम हुनुपर्छ। जोखिमको सम्भावित शोषण वातावरणमा निर्भर गर्दछ, किनकि यसको सफलतालाई लिनक्स PAM वा अन्य समान संयन्त्र प्रयोग गरेर बाह्य रूपमा फर्वार्ड गरिएको सेवा वा अनुप्रयोग चाहिन्छ।"

समस्या थियो हटाइयो अल्पाइन संस्करणहरू 3.6.5, 3.7.3, 3.8.4, 3.9.2 र किनारामा (20190228 स्न्यापसट), र प्रभावित छविहरूका मालिकहरूलाई रूट इनको साथ लाइन टिप्पणी गर्न भनियो। /etc/shadow वा प्याकेज हराइरहेको निश्चित गर्नुहोस् linux-pam.

डकर हब संग जारी

जेरी ग्याम्बलिनले "कन्टेनरहरूमा शून्य पासवर्डहरू प्रयोग गर्ने अभ्यास कत्तिको सामान्य हुन सक्छ" भनेर उत्सुक हुने निर्णय गरे। यसका लागि उनले सानो लेखे ब्यास लिपि, जसको सार धेरै सरल छ:

• डकर हबमा API मा कर्ल अनुरोध मार्फत, त्यहाँ होस्ट गरिएका डकर छविहरूको सूची अनुरोध गरिएको छ;
• jq मार्फत यसलाई क्षेत्र अनुसार क्रमबद्ध गरिएको छ popularity, र प्राप्त परिणामबाट, पहिलो हजार बाँकी छ;
• तिनीहरू प्रत्येकको लागि यो पूरा भएको छ docker pull;
• डकर हबबाट प्राप्त प्रत्येक छविको लागि कार्यान्वयन गरिएको छ docker run फाइलबाट पहिलो लाइन पढ्दै /etc/shadow;
• यदि string को मान बराबर छ root:::0:::::, छविको नाम छुट्टै फाइलमा बचत गरिएको छ।

के भयो? IN यो फाइल लिनक्स प्रणालीहरूसँग लोकप्रिय डकर छविहरूको नामको साथ 194 लाइनहरू थिए, जसमा रूट प्रयोगकर्तासँग पासवर्ड सेट छैन:

"यस सूचीमा सबैभन्दा प्रसिद्ध नामहरू मध्ये govuk/govermentpaas, hashicorp, microsoft, monsanto र mesosphere थिए। र kylemanna/openvpn सूचीमा सबैभन्दा लोकप्रिय कन्टेनर हो, यसको तथ्याङ्क कुल 10 मिलियन भन्दा बढी पुलहरू।

यो सम्झना लायक छ, तथापि, यो घटना आफैंमा तिनीहरूको प्रयोग गर्ने प्रणालीहरूको सुरक्षामा प्रत्यक्ष जोखिमको मतलब होइन: यो सबै तिनीहरू कसरी प्रयोग गरिन्छ भन्नेमा निर्भर गर्दछ। (माथिको अल्पाइन केसबाट टिप्पणी हेर्नुहोस्)। यद्यपि, हामीले "कहानीको नैतिकता" धेरै पटक देखेका छौं: स्पष्ट सरलतामा प्रायः नकारात्मक पक्षहरू हुन्छन्, जुन सधैं सम्झनु पर्छ र जसको परिणामहरू तपाइँको टेक्नोलोजी अनुप्रयोग परिदृश्यहरूमा खातामा लिइन्छ।

PS

हाम्रो ब्लगमा पनि पढ्नुहोस्:

• «डकर हबमा छविहरूमा अन्तर्निहित अपरेटिङ सिस्टमहरूमा तथ्याङ्कहरू»;
• «सुरक्षा-संवेदनशील वातावरणमा डकर र Kubernetes»;
• «Vulnerability CVE-2019-5736 runc मा, जसले तपाईंलाई होस्टमा रूट अधिकारहरू प्राप्त गर्न अनुमति दिन्छ।»;
• «कमजोर डकर VM - डकर र पेन्टेस्टिङको लागि एक पजल भर्चुअल मेसिन"।

स्रोत: www.habr.com