डकर कन्टेनर छविहरूको लागि सुरक्षा स्क्यानरहरूमा कमजोरीहरू

प्रकाशित результаты тестирования инструментов для определения неисправленных уязвимостей и выявления проблем с безопасностью в образах изолированных контейнеров Docker. Проверка показала, что в 4 из 6 известных сканеров образов Docker присутствовали критические уязвимости, позволяющие атаковать непосредственно сам сканер и добиться выполнения своего кода в системе, в отдельных случаях (например, при использовании Snyk) с правами root.

Для атаки злоумышленнику достаточно инициировать проверку своего Dockerfile или manifest.json, включающего специально оформленные метаданные, или разместить внутри образа файлы Podfile и gradlew. Прототипы эксплоитов удалось подготовить для систем
ह्वाइटसोर्स, Snyk,
फोसा и
एंकर. Наилучшую безопасность показал пакет Clair, изначально написанный с оглядкой на обеспечение безопасности. Проблем также не выявлено в пакете त्रिभि. В итоге сделан вывод, что сканеры Docker-контейнеров следует запускать в изолированных окружения или использовать только для проверки собственных образов, а также проявлять осторожность при подключении подобных инструментов к автоматизированным системам непрерывной интеграции.

В FOSSA, Snyk и WhiteSource уязвимость была связана с вызовом внешнего пакетного менеджера для определения зависимостей и позволяла организовать выполнение своего кода через указание команд touch и system в файлах gradlew и Podfile.

В Snyk и WhiteSource дополнительно были भेटियो कमजोरीहरू, सम्बन्धित с организацией запуска системных команд при разборе Dockerfile (например, в Snyk через Dockefile можно было заменить утилиту /bin/ls, вызываемую сканером, а в WhiteSurce можно было подставить код через аргументы в форме «echo ‘;touch /tmp/hacked_whitesource_pip;=1.0′»).

В Anchore уязвимость была вызвана использованием утилиты स्कोपियो для работы с docker-образами. Эксплуатация сводилась к добавлению в файл manifest.json параметров вида ‘»os»: «$(touch hacked_anchore)»‘, которые подставляются при вызове skopeo без должного экранирования (вырезались только символы «;&<>», но допускалась конструкция «$()»).

Тем же автором проведено исследование эффективности выявления неисправленных уязвимостей сканерами безопасности docker-контейнеров и уровень ложных срабатываний (भाग 1, भाग 2, भाग 3). Ниже показаны результаты тестирования 73 образов, содержащих известные уязвимости, а также дана оценка эффективности определения наличия типовых приложений в образах (nginx, tomcat, haproxy, gunicorn, redis, ruby, node).

स्रोत: opennet.ru