{"id":34141,"date":"2019-10-31T21:56:37","date_gmt":"2019-10-31T18:56:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root\/"},"modified":"2019-10-31T21:56:37","modified_gmt":"2019-10-31T18:56:37","slug":"v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","title":{"rendered":"Em 19% dos Docker images mais populares, n\u00e3o h\u00e1 senha para root","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

No s\u00e1bado passado, 18 de maio, Jerry Gamblin da Kenna Security verificou<\/a><\/noindex> 1000 das imagens mais populares do Docker Hub quanto \u00e0 senha usada para o usu\u00e1rio root. Em 19% dos casos, a senha estava vazia.<\/p>\n

\"Em<\/a><\/noindex><\/p>\n

Contexto sobre o Alpine<\/h2>\n

\nA raz\u00e3o para a mini-pesquisa realizada foi o Talos Vulnerability Report que saiu no in\u00edcio deste m\u00eas (TALOS-2019-0782<\/a><\/noindex>), cujos autores \u2013 gra\u00e7as \u00e0 descoberta de Peter Adkins da Cisco Umbrella \u2013 informaram que as imagens do Docker com a popular distribui\u00e7\u00e3o Alpine n\u00e3o possuem senha para root:<\/p>\n

\u00abAs vers\u00f5es oficiais das imagens Docker do Alpine Linux (a partir da v3.3) cont\u00eam senha NULL para o usu\u00e1rio root. Essa vulnerabilidade surgiu em consequ\u00eancia de uma regress\u00e3o apresentada em dezembro de 2015. A ess\u00eancia do problema \u00e9 que sistemas implantados com vers\u00f5es problem\u00e1ticas do Alpine Linux em cont\u00eaineres e utilizando o Linux PAM ou outro mecanismo que empregue o arquivo shadow do sistema como base de dados para autentica\u00e7\u00e3o, podem aceitar senha nula (NULL) para o usu\u00e1rio root\u00bb.<\/p><\/blockquote>\n

\nAs vers\u00f5es das imagens Docker com Alpine confirmadas como problem\u00e1ticas foram 3.3 a 3.9 inclusivas, al\u00e9m da \u00faltima vers\u00e3o edge.<\/p>\n

Os autores forneceram a seguinte recomenda\u00e7\u00e3o aos usu\u00e1rios afetados pela quest\u00e3o:<\/p>\n

\u00abA conta root deve ser explicitamente desabilitada nas imagens Docker constru\u00eddas sobre vers\u00f5es problem\u00e1ticas do Alpine. A explora\u00e7\u00e3o da vulnerabilidade depende do ambiente, pois seu sucesso requer um servi\u00e7o ou aplica\u00e7\u00e3o expostos que utilize o Linux PAM ou outro mecanismo semelhante\u00bb.<\/p><\/blockquote>\n

\nO problema estava no lan\u00e7amento<\/a><\/noindex> no Alpine nas vers\u00f5es 3.6.5, 3.7.3, 3.8.4, 3.9.2 e edge (snapshot de 20190228), e foi recomendado aos propriet\u00e1rios das imagens afetadas que comentassem a linha com root em \/etc\/shadow<\/code> ou garantissem a aus\u00eancia do pacote linux-pam<\/code>.<\/p>\n

Continua\u00e7\u00e3o com Docker Hub<\/h2>\n

\nJerry Gamblin decidiu investigar \u00abqual a dissemina\u00e7\u00e3o da pr\u00e1tica de utiliza\u00e7\u00e3o de senhas nulas em cont\u00eaineres\u00bb. Para isso, ele escreveu um pequeno script Bash<\/a><\/noindex>, cuja ess\u00eancia \u00e9 bastante simples:<\/p>\n