{"id":34141,"date":"2019-10-31T21:56:37","date_gmt":"2019-10-31T18:56:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root\/"},"modified":"2019-10-31T21:56:37","modified_gmt":"2019-10-31T18:56:37","slug":"v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","title":{"rendered":"W 19% najpopularniejszych obraz\u00f3w Docker nie ma has\u0142a dla roota","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

W minion\u0105 sobot\u0119, 18 maja, Jerry Gamblin z Kenna Security sprawdzi\u0142<\/a><\/noindex> 1000 najpopularniejszych obraz\u00f3w z Docker Hub pod k\u0105tem has\u0142a u\u017cytkownika root. W 19% przypadk\u00f3w has\u0142o by\u0142o puste.<\/p>\n

\"W<\/a><\/noindex><\/p>\n

T\u0142o sprawy z Alpine<\/h2>\n

\nPowodem przeprowadzenia mini-badania by\u0142 raport o podatno\u015bci Talos (TALOS-2019-0782<\/a><\/noindex>), kt\u00f3rego autorzy \u2014 dzi\u0119ki odkryciu Petera Adkinsa z Cisco Umbrella \u2014 poinformowali, \u017ce obrazy Docker z popularnym dystrybucj\u0105 kontener\u00f3w Alpine nie maj\u0105 has\u0142a dla root:<\/p>\n

\u201eOficjalne wersje obraz\u00f3w Docker Alpine Linux (od wersji v3.3) zawieraj\u0105 NULL-has\u0142o dla u\u017cytkownika root. Ta podatno\u015b\u0107 pojawi\u0142a si\u0119 w wyniku regresji wprowadzanej w grudniu 2015 roku. Jej istota sprowadza si\u0119 do tego, \u017ce systemy wdra\u017cane z problematycznymi wersjami Alpine Linux w kontenerze i korzystaj\u0105ce z Linux PAM lub innego mechanizmu wykorzystuj\u0105cego plik shadow jako baz\u0119 danych dla uwierzytelniania, mog\u0105 akceptowa\u0107 puste (NULL) has\u0142o dla u\u017cytkownika root\u201d.<\/p><\/blockquote>\n

\nSprawdzane pod k\u0105tem problemu wersje obraz\u00f3w Docker z Alpine obejmowa\u0142y 3.3\u20133.9 w\u0142\u0105cznie, a tak\u017ce najnowsz\u0105 wersj\u0119 edge.<\/p>\n

Autorzy przedstawili nast\u0119puj\u0105c\u0105 rekomendacj\u0119 dla u\u017cytkownik\u00f3w dotkni\u0119tych problemem:<\/p>\n

\u201eKonto root powinno by\u0107 wyra\u017anie wy\u0142\u0105czone w obrazach Docker opartych na problematycznych wersjach Alpine. Prawdopodobna eksploatacja podatno\u015bci zale\u017cy od \u015brodowiska, poniewa\u017c jej powodzenie wymaga przekierowanego na zewn\u0105trz serwisu lub aplikacji korzystaj\u0105cej z Linux PAM lub innego podobnego mechanizmu\u201d.<\/p><\/blockquote>\n

\nProblem wyst\u0119powa\u0142 naprawiono<\/a><\/noindex> w Alpine w wersjach 3.6.5, 3.7.3, 3.8.4, 3.9.2 oraz edge (snapshot z 20190228), a posiadaczom dotkni\u0119tych nim obraz\u00f3w zaproponowano zakomentowanie linii z root w \/etc\/shadow<\/code> lub upewnienie si\u0119, \u017ce pakiet linux-pam<\/code>.<\/p>\n

Kontynuacja z Docker Hub<\/h2>\n

\nJerry Gamblin postanowi\u0142 sprawdzi\u0107, \u201ejak powszechna mo\u017ce by\u0107 praktyka u\u017cywania null-has\u0142a w kontenerach\u201d. W tym celu napisa\u0142 ma\u0142y skrypt Bash<\/a><\/noindex>, kt\u00f3rego istota jest bardzo prosta:<\/p>\n