ਚੋਟੀ ਦੇ ਡੌਕਰ ਚਿੱਤਰਾਂ ਦੇ 19% ਵਿੱਚ ਰੂਟ ਪਾਸਵਰਡ ਨਹੀਂ ਹੈ

ਪਿਛਲੇ ਸ਼ਨੀਵਾਰ, ਮਈ 18th, ਕੇਨਾ ਸੁਰੱਖਿਆ ਦੇ ਜੈਰੀ ਗੈਂਬਲਿਨ ਜਾਂਚ ਕੀਤੀ ਡੌਕਰ ਹੱਬ ਤੋਂ 1000 ਸਭ ਤੋਂ ਵੱਧ ਪ੍ਰਸਿੱਧ ਚਿੱਤਰ ਉਹਨਾਂ ਦੁਆਰਾ ਵਰਤੇ ਗਏ ਰੂਟ ਪਾਸਵਰਡ ਦੇ ਅਧਾਰ ਤੇ। 19% ਮਾਮਲਿਆਂ ਵਿੱਚ ਇਹ ਖਾਲੀ ਸੀ।

ਐਲਪਾਈਨ ਦੇ ਨਾਲ ਪਿਛੋਕੜ

ਮਿੰਨੀ-ਖੋਜ ਦਾ ਕਾਰਨ ਇਸ ਮਹੀਨੇ ਦੇ ਸ਼ੁਰੂ ਵਿੱਚ ਸਾਹਮਣੇ ਆਈ ਟੈਲੋਸ ਵਲਨੇਬਿਲਿਟੀ ਰਿਪੋਰਟ ਸੀ (ਟੈਲੋਸ-2019-0782), ਜਿਸ ਦੇ ਲੇਖਕ - ਸਿਸਕੋ ਅੰਬਰੇਲਾ ਤੋਂ ਪੀਟਰ ਐਡਕਿਨਸ ਦੀ ਖੋਜ ਲਈ ਧੰਨਵਾਦ - ਨੇ ਦੱਸਿਆ ਕਿ ਪ੍ਰਸਿੱਧ ਐਲਪਾਈਨ ਕੰਟੇਨਰ ਵੰਡ ਦੇ ਨਾਲ ਡੌਕਰ ਚਿੱਤਰਾਂ ਦਾ ਰੂਟ ਪਾਸਵਰਡ ਨਹੀਂ ਹੈ:

"ਅਲਪਾਈਨ ਲੀਨਕਸ ਡੌਕਰ ਚਿੱਤਰਾਂ ਦੇ ਅਧਿਕਾਰਤ ਸੰਸਕਰਣਾਂ (v3.3 ਤੋਂ) ਵਿੱਚ ਰੂਟ ਉਪਭੋਗਤਾ ਲਈ ਇੱਕ NULL ਪਾਸਵਰਡ ਹੈ। ਇਹ ਕਮਜ਼ੋਰੀ ਦਸੰਬਰ 2015 ਵਿੱਚ ਪੇਸ਼ ਕੀਤੇ ਗਏ ਰਿਗਰੈਸ਼ਨ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਹੋਈ ਹੈ। ਇਸਦਾ ਸੰਖੇਪ ਇਹ ਹੈ ਕਿ ਇੱਕ ਕੰਟੇਨਰ ਵਿੱਚ ਐਲਪਾਈਨ ਲੀਨਕਸ ਦੇ ਸਮੱਸਿਆ ਵਾਲੇ ਸੰਸਕਰਣਾਂ ਨਾਲ ਤੈਨਾਤ ਕੀਤੇ ਗਏ ਸਿਸਟਮ ਅਤੇ ਲੀਨਕਸ PAM ਜਾਂ ਕੋਈ ਹੋਰ ਵਿਧੀ ਜੋ ਸਿਸਟਮ ਸ਼ੈਡੋ ਫਾਈਲ ਨੂੰ ਪ੍ਰਮਾਣਿਕਤਾ ਡੇਟਾਬੇਸ ਵਜੋਂ ਵਰਤਦੇ ਹਨ, ਰੂਟ ਉਪਭੋਗਤਾ ਲਈ ਇੱਕ NULL ਪਾਸਵਰਡ ਸਵੀਕਾਰ ਕਰ ਸਕਦੇ ਹਨ।"

ਸਮੱਸਿਆ ਲਈ ਟੈਸਟ ਕੀਤੇ ਗਏ ਅਲਪਾਈਨ ਦੇ ਨਾਲ ਡੌਕਰ ਚਿੱਤਰਾਂ ਦੇ ਸੰਸਕਰਣ 3.3–3.9 ਸੰਮਲਿਤ ਸਨ, ਅਤੇ ਨਾਲ ਹੀ ਕਿਨਾਰੇ ਦੀ ਨਵੀਨਤਮ ਰਿਲੀਜ਼ ਵੀ।

ਲੇਖਕਾਂ ਨੇ ਪ੍ਰਭਾਵਿਤ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਹੇਠ ਲਿਖੀਆਂ ਸਿਫਾਰਸ਼ਾਂ ਕੀਤੀਆਂ:

ਅਲਪਾਈਨ ਦੇ ਸਮੱਸਿਆ ਵਾਲੇ ਸੰਸਕਰਣਾਂ ਤੋਂ ਬਣੇ ਡੌਕਰ ਚਿੱਤਰਾਂ ਵਿੱਚ ਰੂਟ ਖਾਤਾ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਅਸਮਰੱਥ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਕਮਜ਼ੋਰੀ ਦਾ ਸੰਭਾਵਿਤ ਸ਼ੋਸ਼ਣ ਵਾਤਾਵਰਣ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ, ਕਿਉਂਕਿ ਇਸਦੀ ਸਫਲਤਾ ਲਈ ਲੀਨਕਸ PAM ਜਾਂ ਹੋਰ ਸਮਾਨ ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਬਾਹਰੀ ਤੌਰ 'ਤੇ ਅੱਗੇ ਭੇਜੀ ਸੇਵਾ ਜਾਂ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ।"

ਸਮੱਸਿਆ ਸੀ ਖਤਮ ਕੀਤਾ ਐਲਪਾਈਨ ਸੰਸਕਰਣ 3.6.5, 3.7.3, 3.8.4, 3.9.2 ਅਤੇ ਕਿਨਾਰੇ (20190228 ਸਨੈਪਸ਼ਾਟ) ਵਿੱਚ, ਅਤੇ ਪ੍ਰਭਾਵਿਤ ਚਿੱਤਰਾਂ ਦੇ ਮਾਲਕਾਂ ਨੂੰ ਰੂਟ ਇਨ ਨਾਲ ਲਾਈਨ ਨੂੰ ਟਿੱਪਣੀ ਕਰਨ ਲਈ ਕਿਹਾ ਗਿਆ ਸੀ /etc/shadow ਜਾਂ ਯਕੀਨੀ ਬਣਾਓ ਕਿ ਪੈਕੇਜ ਗੁੰਮ ਹੈ linux-pam.

ਡੌਕਰ ਹੱਬ ਨਾਲ ਜਾਰੀ ਹੈ

ਜੈਰੀ ਗੈਂਬਲਿਨ ਨੇ ਇਸ ਬਾਰੇ ਉਤਸੁਕ ਹੋਣ ਦਾ ਫੈਸਲਾ ਕੀਤਾ ਕਿ "ਕੰਟੇਨਰਾਂ ਵਿੱਚ ਖਾਲੀ ਪਾਸਵਰਡ ਵਰਤਣ ਦਾ ਅਭਿਆਸ ਕਿੰਨਾ ਆਮ ਹੋ ਸਕਦਾ ਹੈ।" ਇਸ ਮਕਸਦ ਲਈ ਉਸਨੇ ਇੱਕ ਛੋਟਾ ਜਿਹਾ ਲਿਖਿਆ ਬੈਸ਼ ਸਕ੍ਰਿਪਟ, ਜਿਸ ਦਾ ਸਾਰ ਬਹੁਤ ਸਰਲ ਹੈ:

• ਡੌਕਰ ਹੱਬ ਵਿੱਚ API ਨੂੰ ਇੱਕ ਕਰਲ ਬੇਨਤੀ ਦੁਆਰਾ, ਉੱਥੇ ਹੋਸਟ ਕੀਤੇ ਡੌਕਰ ਚਿੱਤਰਾਂ ਦੀ ਇੱਕ ਸੂਚੀ ਦੀ ਬੇਨਤੀ ਕੀਤੀ ਗਈ ਹੈ;
• jq ਦੁਆਰਾ ਇਸਨੂੰ ਖੇਤਰ ਦੁਆਰਾ ਕ੍ਰਮਬੱਧ ਕੀਤਾ ਗਿਆ ਹੈ popularity, ਅਤੇ ਪ੍ਰਾਪਤ ਨਤੀਜਿਆਂ ਤੋਂ, ਪਹਿਲੇ ਹਜ਼ਾਰ ਬਚੇ ਹਨ;
• ਉਹਨਾਂ ਵਿੱਚੋਂ ਹਰੇਕ ਲਈ ਇਹ ਪੂਰਾ ਹੁੰਦਾ ਹੈ docker pull;
• ਡੌਕਰ ਹੱਬ ਤੋਂ ਪ੍ਰਾਪਤ ਹਰੇਕ ਚਿੱਤਰ ਲਈ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ docker run ਫਾਈਲ ਤੋਂ ਪਹਿਲੀ ਲਾਈਨ ਨੂੰ ਪੜ੍ਹਨ ਦੇ ਨਾਲ /etc/shadow;
• ਜੇਕਰ ਸਤਰ ਦਾ ਮੁੱਲ ਬਰਾਬਰ ਹੈ root:::0:::::, ਚਿੱਤਰ ਦਾ ਨਾਮ ਇੱਕ ਵੱਖਰੀ ਫਾਈਲ ਵਿੱਚ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਗਿਆ ਹੈ।

ਕੀ ਹੋਇਆ? IN ਇਹ ਫਾਈਲ ਲੀਨਕਸ ਸਿਸਟਮ ਦੇ ਨਾਲ ਪ੍ਰਸਿੱਧ ਡੌਕਰ ਚਿੱਤਰਾਂ ਦੇ ਨਾਵਾਂ ਨਾਲ 194 ਲਾਈਨਾਂ ਸਨ, ਜਿਸ ਵਿੱਚ ਰੂਟ ਉਪਭੋਗਤਾ ਕੋਲ ਪਾਸਵਰਡ ਸੈੱਟ ਨਹੀਂ ਹੈ:

“ਇਸ ਸੂਚੀ ਵਿੱਚ ਸਭ ਤੋਂ ਮਸ਼ਹੂਰ ਨਾਵਾਂ ਵਿੱਚ ਗੋਵਿਕ/ਸਰਕਾਰੀਪਾਸ, ਹੈਸ਼ੀਕਾਰਪ, ਮਾਈਕ੍ਰੋਸਾਫਟ, ਮੋਨਸੈਂਟੋ ਅਤੇ ਮੇਸੋਸਫੀਅਰ ਸਨ। ਅਤੇ kylemanna/openvpn ਸੂਚੀ ਵਿੱਚ ਸਭ ਤੋਂ ਪ੍ਰਸਿੱਧ ਕੰਟੇਨਰ ਹੈ, ਇਸਦੇ ਅੰਕੜੇ ਕੁੱਲ 10 ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਖਿੱਚਦੇ ਹਨ।

ਹਾਲਾਂਕਿ, ਇਹ ਯਾਦ ਰੱਖਣ ਯੋਗ ਹੈ ਕਿ ਇਸ ਵਰਤਾਰੇ ਦਾ ਮਤਲਬ ਆਪਣੇ ਆਪ ਵਿੱਚ ਉਹਨਾਂ ਪ੍ਰਣਾਲੀਆਂ ਦੀ ਸੁਰੱਖਿਆ ਵਿੱਚ ਸਿੱਧੀ ਕਮਜ਼ੋਰੀ ਨਹੀਂ ਹੈ ਜੋ ਉਹਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ: ਇਹ ਸਭ ਇਸ ਗੱਲ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਕਿ ਉਹਨਾਂ ਦੀ ਵਰਤੋਂ ਕਿਵੇਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। (ਉਪਰੋਕਤ ਐਲਪਾਈਨ ਕੇਸ ਤੋਂ ਟਿੱਪਣੀ ਦੇਖੋ). ਹਾਲਾਂਕਿ, ਅਸੀਂ "ਕਹਾਣੀ ਦੀ ਨੈਤਿਕਤਾ" ਨੂੰ ਕਈ ਵਾਰ ਦੇਖਿਆ ਹੈ: ਸਪੱਸ਼ਟ ਸਾਦਗੀ ਦਾ ਅਕਸਰ ਇੱਕ ਨਨੁਕਸਾਨ ਹੁੰਦਾ ਹੈ, ਜਿਸ ਨੂੰ ਹਮੇਸ਼ਾ ਯਾਦ ਰੱਖਣਾ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਜਿਸ ਦੇ ਨਤੀਜੇ ਤੁਹਾਡੇ ਤਕਨਾਲੋਜੀ ਐਪਲੀਕੇਸ਼ਨ ਦ੍ਰਿਸ਼ਾਂ ਵਿੱਚ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦੇ ਹਨ।

PS

ਸਾਡੇ ਬਲੌਗ 'ਤੇ ਵੀ ਪੜ੍ਹੋ:

• «ਡੌਕਰ ਹੱਬ 'ਤੇ ਚਿੱਤਰਾਂ ਵਿੱਚ ਅੰਡਰਲਾਈੰਗ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮਾਂ ਦੇ ਅੰਕੜੇ";
• «ਸੁਰੱਖਿਆ-ਸੰਵੇਦਨਸ਼ੀਲ ਵਾਤਾਵਰਣ ਵਿੱਚ ਡੌਕਰ ਅਤੇ ਕੁਬਰਨੇਟਸ";
• «Runc ਵਿੱਚ ਕਮਜ਼ੋਰ CVE-2019-5736, ਜੋ ਤੁਹਾਨੂੰ ਹੋਸਟ 'ਤੇ ਰੂਟ ਅਧਿਕਾਰ ਹਾਸਲ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ";
• «ਕਮਜ਼ੋਰ ਡੌਕਰ VM - ਡੌਕਰ ਅਤੇ ਪੈਂਟੈਸਟਿੰਗ ਲਈ ਇੱਕ ਬੁਝਾਰਤ ਵਰਚੁਅਲ ਮਸ਼ੀਨ".

ਸਰੋਤ: www.habr.com