ਅਲਪਾਈਨ ਡੌਕਰ ਚਿੱਤਰ ਖਾਲੀ ਰੂਟ ਪਾਸਵਰਡ ਨਾਲ ਭੇਜੇ ਗਏ ਹਨ

ਸਿਸਕੋ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾਵਾਂ ਬੇਨਕਾਬ ਕਮਜ਼ੋਰੀ ਜਾਣਕਾਰੀ (CVE-2019-5021) ਵਿੱਚ ਅਸੈਂਬਲੀਆਂ ਡੌਕਰ ਕੰਟੇਨਰ ਆਈਸੋਲੇਸ਼ਨ ਸਿਸਟਮ ਲਈ ਅਲਪਾਈਨ ਵੰਡ। ਪਛਾਣੀ ਗਈ ਸਮੱਸਿਆ ਦਾ ਸਾਰ ਇਹ ਹੈ ਕਿ ਰੂਟ ਉਪਭੋਗਤਾ ਲਈ ਮੂਲ ਪਾਸਵਰਡ ਰੂਟ ਦੇ ਤੌਰ 'ਤੇ ਸਿੱਧੇ ਲਾਗਇਨ ਨੂੰ ਬਲੌਕ ਕੀਤੇ ਬਿਨਾਂ ਇੱਕ ਖਾਲੀ ਪਾਸਵਰਡ 'ਤੇ ਸੈੱਟ ਕੀਤਾ ਗਿਆ ਸੀ। ਆਓ ਯਾਦ ਰੱਖੀਏ ਕਿ ਅਲਪਾਈਨ ਦੀ ਵਰਤੋਂ ਡੌਕਰ ਪ੍ਰੋਜੈਕਟ ਤੋਂ ਅਧਿਕਾਰਤ ਚਿੱਤਰ ਬਣਾਉਣ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ (ਪਹਿਲਾਂ ਅਧਿਕਾਰਤ ਬਿਲਡ ਉਬੰਟੂ 'ਤੇ ਅਧਾਰਤ ਸਨ, ਪਰ ਫਿਰ ਸਨ ਅਨੁਵਾਦ ਕੀਤਾ ਐਲਪਾਈਨ 'ਤੇ).

ਇਹ ਸਮੱਸਿਆ ਐਲਪਾਈਨ ਡੌਕਰ 3.3 ਬਿਲਡ ਦੇ ਬਾਅਦ ਤੋਂ ਮੌਜੂਦ ਹੈ ਅਤੇ 2015 ਵਿੱਚ ਜੋੜੀ ਗਈ ਇੱਕ ਰੀਗਰੈਸ਼ਨ ਤਬਦੀਲੀ ਕਾਰਨ ਹੋਈ ਸੀ (ਵਰਜਨ 3.3 ਤੋਂ ਪਹਿਲਾਂ, /etc/shadow ਨੇ "root:!::0:::::", ਅਤੇ ਬਾਅਦ ਵਿੱਚ ਫਲੈਗ “-d” ਲਾਈਨ “ਰੂਟ:::0:::::” ਨੂੰ ਸ਼ਾਮਲ ਕਰਨਾ ਸ਼ੁਰੂ ਕੀਤਾ ਗਿਆ। ਸਮੱਸਿਆ ਦੀ ਸ਼ੁਰੂਆਤ ਵਿੱਚ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ ਅਤੇ ਸਥਿਰ ਨਵੰਬਰ 2015 ਵਿੱਚ, ਪਰ ਦਸੰਬਰ ਵਿੱਚ ਦੁਬਾਰਾ ਗਲਤੀ ਨਾਲ ਸਾਹਮਣੇ ਆਇਆ ਪ੍ਰਯੋਗਾਤਮਕ ਸ਼ਾਖਾ ਦੀਆਂ ਬਿਲਡ ਫਾਈਲਾਂ ਵਿੱਚ, ਅਤੇ ਫਿਰ ਸਥਿਰ ਬਿਲਡਾਂ ਵਿੱਚ ਤਬਦੀਲ ਕੀਤਾ ਗਿਆ ਸੀ।

ਕਮਜ਼ੋਰੀ ਜਾਣਕਾਰੀ ਦੱਸਦੀ ਹੈ ਕਿ ਸਮੱਸਿਆ ਐਲਪਾਈਨ ਡੌਕਰ 3.9 ਦੀ ਨਵੀਨਤਮ ਸ਼ਾਖਾ ਵਿੱਚ ਵੀ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ। ਮਾਰਚ ਵਿੱਚ ਅਲਪਾਈਨ ਡਿਵੈਲਪਰ ਜਾਰੀ ਕੀਤਾ ਪੈਚ ਅਤੇ ਕਮਜ਼ੋਰੀ ਦਿਖਾਈ ਨਹੀਂ ਦਿੰਦਾ ਬਿਲਡ 3.9.2, 3.8.4, 3.7.3 ਅਤੇ 3.6.5 ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ, ਪਰ ਪੁਰਾਣੀਆਂ ਸ਼ਾਖਾਵਾਂ 3.4.x ਅਤੇ 3.5.x ਵਿੱਚ ਰਹਿੰਦਾ ਹੈ, ਜੋ ਪਹਿਲਾਂ ਹੀ ਬੰਦ ਕਰ ਦਿੱਤੀਆਂ ਗਈਆਂ ਹਨ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਡਿਵੈਲਪਰ ਦਾਅਵਾ ਕਰਦੇ ਹਨ ਕਿ ਹਮਲਾ ਵੈਕਟਰ ਬਹੁਤ ਸੀਮਤ ਹੈ ਅਤੇ ਹਮਲਾਵਰ ਨੂੰ ਉਸੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਤੱਕ ਪਹੁੰਚ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ।

ਸਰੋਤ: opennet.ru