19.4% e 1000 kontejnerëve kryesorë Docker përmbajnë një fjalëkalim bosh root

Jerry Gamblin vendosi të zbulojë se sa i përhapur është i sapoidentifikuari problemi në imazhet Docker të shpërndarjes Alpine, të lidhura me specifikimin e një fjalëkalimi bosh për përdoruesin rrënjë. Analiza e mijëra kontejnerëve më të njohur nga katalogu Docker Hub tregoi, çfarë në 194 prej tyre (19.4%) vendoset një fjalëkalim bosh për root pa bllokuar llogarinë (“root:::0:::::” në vend të “root:!::0:::::”).

Nëse kontejneri përdor paketat shadow dhe linux-pam, përdorni një fjalëkalim bosh root Kjo i lejon përshkallëzoni privilegjet tuaja brenda kontejnerit nëse keni akses të paprivilegjuar në kontejner ose pasi keni shfrytëzuar një cenueshmëri në një shërbim të paprivilegjuar që funksionon në kontejner. Ju gjithashtu mund të lidheni me kontejnerin me të drejta rrënjësore nëse keni akses në infrastrukturë, d.m.th. aftësia për t'u lidhur nëpërmjet terminalit me TTY të specifikuar në listën /etc/securetty. Hyrja me një fjalëkalim bosh është e bllokuar nëpërmjet SSH.

Më i popullarizuari në mesin e kontejnerë me fjalëkalim bosh root janë microsoft/azure-cli, kylemanna/openvpn, qeveriapaas/s3-burimi, phpmyadmin/phpmyadmin, mezosferë/aws-cli и hashicorp/terraform, të cilat kanë mbi 10 milionë shkarkime. Theksohen gjithashtu kontejnerët
govuk/gemstash-alpin (500 mijë), monsantoco/logstash (5 milionë),
avhost/docker-matrix-trazirë (1 milionë),
azuresdk/azure-cli-python (5 milionë)
и ciscocloud/haproksi-konsull (1 milion). Pothuajse të gjithë këta kontejnerë janë të bazuar në Alpine dhe nuk përdorin paketat shadow dhe linux-pam. Përjashtimi i vetëm është microsoft/azure-cli i bazuar në Debian.

Burimi: opennet.ru