Moqebelo o fetileng, May 18th, Jerry Gamblin oa Kenna Security 1000 ea litšoantšo tse tsebahalang haholo tse tsoang ho Docker Hub tse ipapisitseng le password ea motso eo ba e sebelisang. Maemong a 19% e ne e se na letho.
Ka morao le Alpine
Lebaka la lipatlisiso tse nyane e ne e le Tlaleho ea Vulnerability ea Talos e hlahileng pejana khoeling ena (), bangoli ba bona - ka lebaka la ho sibolloa ha Peter Adkins ho Cisco Umbrella - ba tlalehile hore litšoantšo tsa Docker tse nang le phepelo e tsebahalang ea sejana sa Alpine ha li na senotlolo sa motso:
"Liphetolelo tsa semmuso tsa litšoantšo tsa Alpine Linux Docker (kaha v3.3) li na le senotlolo sa NULL bakeng sa mosebelisi oa motso. Kotsi ena e bakiloe ke ho fokotseha ho hlahisitsoeng ka Tšitoe 2015. Moko-taba oa sena ke hore litsamaiso tse kentsoeng ka liphetolelo tse thata tsa Alpine Linux ka har'a sets'oants'o le ho sebelisa Linux PAM kapa mochini o mong o sebelisang faele ea moriti oa sistimi joalo ka polokelo ea netefatso e ka amohela senotlolo sa NULL bakeng sa mosebelisi.
Liphetolelo tsa litšoantšo tsa Docker tse nang le Alpine tse lekiloeng bakeng sa bothata li ne li kenyelletsa 3.3-3.9, hammoho le tokollo ea morao-rao ea bohale.
Bangoli ba entse likhothaletso tse latelang ho basebelisi ba amehileng:
"Ak'haonte ea motso e tlameha ho holofatsoa ka ho hlaka litšoantšong tsa Docker tse hahiloeng ho tsoa ho mefuta e thata ea Alpine. Tšebeliso e mpe ea tlokotsi e ipapisitse le tikoloho, kaha katleho ea eona e hloka ts'ebeletso kapa ts'ebeliso e fetisetsoang kantle ho Linux PAM kapa mochini o mong o tšoanang."
Bothata e ne e le liphetolelong tsa Alpine 3.6.5, 3.7.3, 3.8.4, 3.9.2 le Edge (20190228 snapshot), le beng ba litšoantšo tse amehileng ba ile ba kōptjoa ho fana ka maikutlo ka mohala o nang le metso ho /etc/shadow kapa etsa bonnete ba hore sephutheloana ha se eo linux-pam.
E tsoela pele ka Docker Hub
Jerry Gamblin o ile a etsa qeto ea ho labalabela ho tseba “hore na mokhoa oa ho sebelisa li-password tse sa sebetseng ka har’a lik’hontheinara o tloaelehile hakae.” Bakeng sa morero ona o ile a ngola e nyenyane , moelelo oa eona o bonolo haholo:
- ka kopo ea curl ho API ho Docker Hub, lethathamo la litšoantšo tsa Docker tse tšoaretsoeng moo le kopuoa;
- ka jq e hlophisoa ka lebala
popularity, ’me ho tsoa liphellong tse fumanoeng, sekete sa pele se sala; - ho e mong le e mong wa bona ho phethahala
docker pull; - bakeng sa setšoantšo se seng le se seng se amohetsoeng ho tsoa ho Docker Hub se a etsoa
docker runka ho bala mola oa pele ho tsoa faeleng/etc/shadow; - haeba boleng ba khoele bo lekana le
root:::0:::::, lebitso la setšoantšo le bolokoa faeleng e fapaneng.
Ho etsahetse eng? IN Ho ne ho e-na le mela e 194 e nang le mabitso a litšoantšo tse tummeng tsa Docker tse nang le lisebelisoa tsa Linux, moo motso oa motso a se nang password:
“Hara mabitso a tsebahalang haholo lethathamong lena e ne e le govuk/governmentpaas, hashicorp, microsoft, monsanto le mesosphere. 'Me kylemanna/openvpn ke sejana se tsebahalang ka ho fetisisa lethathamong, lipalo-palo tsa eona li hula ho feta limilione tse 10. "
Leha ho le joalo, ke habohlokoa ho hopola hore ketsahalo ena ka boeona ha e bolele ho ba kotsing e tobileng ea ts'ireletso ea litsamaiso tse li sebelisang: tsohle li itšetlehile ka hore na li sebelisoa joang. (sheba tlhaloso ea nyeoe ea Alpine ka holimo). Leha ho le joalo, re bone "boitšoaro ba pale" ka makhetlo a mangata: bonolo bo bonahalang hangata bo na le bothata, bo lokelang ho hopoloa kamehla le liphello tsa tsona tse hlokometsoeng maemong a ts'ebeliso ea theknoloji ea hau.
PES
Bala hape ho blog ea rona:
- «";
- «";
- «";
- «".
Source: www.habr.com