{"id":34141,"date":"2019-10-31T21:56:37","date_gmt":"2019-10-31T18:56:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root\/"},"modified":"2019-10-31T21:56:37","modified_gmt":"2019-10-31T18:56:37","slug":"v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","title":{"rendered":"Docker en Kubernetes in beveiligingseisen staddens.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Afgelopen zaterdag, 18 mei, heeft Jerry Gamblin van Kenna Security gecheckt<\/a><\/noindex> de 1000 populairste afbeeldingen op Docker Hub op het gebruikte wachtwoord voor de gebruiker root. In 19% van de gevallen bleek dit leeg te zijn.<\/p>\n

\"Docker<\/a><\/noindex><\/p>\n

Achtergrond met Alpine<\/h2>\n

\nDe aanleiding voor het mini-onderzoek was het eerder deze maand verschenen Talos Vulnerability Report (TALOS-2019-0782<\/a><\/noindex>), waarbij de auteurs \u2014 dankzij een ontdekking van Peter Adkins van Cisco Umbrella \u2014 meldden dat Docker-afbeeldingen met de populaire distributie voor containers Alpine geen wachtwoord voor root hebben:<\/p>\n

\u201eOffici\u00eble versies van Docker-afbeeldingen van Alpine Linux (vanaf v3.3) bevatten een NULL-wachtwoord voor de gebruiker root. Deze kwetsbaarheid is ontstaan door een regressie die in december 2015 is ge\u00efntroduceerd. Het komt erop neer dat systemen die zijn uitgerold met probleemversies van Alpine Linux in een container en die Linux PAM of een ander mechanisme gebruiken dat het systeembestand shadow als database voor authenticatie gebruikt, een nul (NULL) wachtwoord voor de gebruiker root kunnen accepteren.\u201d<\/p><\/blockquote>\n

\nDe versies van Docker-afbeeldingen met Alpine die op het probleem zijn getest, zijn 3.3 tot en met 3.9, evenals de laatste release edge.<\/p>\n

De auteurs gaven de volgende aanbeveling aan gebruikers die aan het probleem zijn blootgesteld:<\/p>\n

\u201eHet root-account moet expliciet worden uitgeschakeld in Docker-afbeeldingen die zijn gebouwd op basis van probleemversies van Alpine. De waarschijnlijkheid van exploitatie van de kwetsbaarheid hangt af van de omgeving, omdat het succes een naar buiten doorgeschoven dienst of applicatie vereist die Linux PAM of een ander vergelijkbaar mechanisme gebruikt.\u201d<\/p><\/blockquote>\n

\nHet probleem was opgelost<\/a><\/noindex> in Alpine versies 3.6.5, 3.7.3, 3.8.4, 3.9.2 en edge (20190228 snapshot), en aan eigenaars van kwetsbare afbeeldingen wordt aangeraden om de regel met root in \/etc\/shadow<\/code> of te controleren of het pakket linux-pam<\/code>.<\/p>\n

Vervolg bij Docker Hub<\/h2>\n

\nJerry Gamblin besloot nieuwsgierig te zijn naar \u201ehoe gebruikelijk de praktijk van het gebruik van null-wachtwoorden in containers kan zijn\u201d. Hiervoor schreef hij een klein Bash-script<\/a><\/noindex>, waarvan de essentie zeer eenvoudig is:<\/p>\n