{"id":34141,"date":"2019-10-31T21:56:37","date_gmt":"2019-10-31T18:56:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root\/"},"modified":"2019-10-31T21:56:37","modified_gmt":"2019-10-31T18:56:37","slug":"v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","title":{"rendered":"V 19% najbolj priljubljenih Docker slik ni gesla za root","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Prej\u0161njo soboto, 18. maja, je Jerry Gamblin iz Kenna Security pregledal<\/a><\/noindex> 1000 najbolj priljubljenih slik na Docker Hubu glede na uporabljeno geslo za uporabnika root. V 19% primerov je bilo to geslo prazno.<\/p>\n

\"V<\/a><\/noindex><\/p>\n

Kratka zgodovina z Alpine<\/h2>\n

\nVzrok za izvedeno mini-raziskavo je bil Talos Vulnerability Report, ki je iz\u0161el prej v tem mesecu (TALOS-2019-0782<\/a><\/noindex>), avtorji katerega - zahvaljujo\u010d odkritju Peterja Adkinsa iz Cisco Umbrella - so poro\u010dali, da Docker slike z priljubljenim distribucijo za kontejnerje Alpine nimajo gesla za root:<\/p>\n

\u201eUradne razli\u010dice Docker slik Alpine Linux (od v3.3 naprej) vsebujejo NULL-geslo za uporabnika root. Ta ranljivost je nastala zaradi regresije, predstavljene decembra 2015. Njena bistvo je, da sistemi, name\u0161\u010deni z problemati\u010dnimi razli\u010dicami Alpine Linux v kontejnerju in uporabljajo Linux PAM ali drug mehanizem, ki uporablja sistemsko datoteko shadow kot bazo podatkov za avtorizacijo, lahko sprejmejo ni\u010delno (NULL) geslo za uporabnika root.\u201d<\/p><\/blockquote>\n

\nPreverjene razli\u010dice Docker slik z Alpine, ki so bile prizadete, so bile od 3.3 do 3.9 vklju\u010dno, ter zadnja razli\u010dica edge.<\/p>\n

Avtorji so dajali naslednje priporo\u010dilo uporabnikom, ki so prizadeti:<\/p>\n

\u201eRa\u010dun root mora biti izrecno onemogo\u010den v Docker slikah, zgrajenih na problemati\u010dnih razli\u010dicah Alpine. Verjetna izkori\u0161\u010denost ranljivosti je odvisna od okolja, saj njen uspeh zahteva izpostavljen zunanji servis ali aplikacijo, ki uporablja Linux PAM ali drug podoben mehanizem.\u201d<\/p><\/blockquote>\n

\nTe\u017eava je bila ispravljena<\/a><\/noindex> v Alpine razli\u010dicah 3.6.5, 3.7.3, 3.8.4, 3.9.2 in edge (20190228 snapshot), in lastnikom prizadetih slik je bilo predlagano, da zakomentirajo vrstico za root v \/etc\/shadow<\/code> ali se prepri\u010dajo, da paket linux-pam<\/code>.<\/p>\n

Zgodba z Docker Hub<\/h2>\n

\nJerry Gamblin se je odlo\u010dil, da bo radoveden, \u201akako raz\u0161irjena bi lahko bila praksa uporabe null-gesel v kontejnerjih\u2018. Za to je napisal majhen Bash skripta<\/a><\/noindex>, katerega bistvo je zelo preprosto:<\/p>\n