Sårbarheter i säkerhetsscanners för Docker-containerbilder

Publicerade resultaten från tester av verktyg för att identifiera obotade sårbarheter och upptäcka säkerhetsproblem i isolerade Docker-containerbilder. Kontrollen visade att 4 av 6 kända Docker-bildskannrar hade kritiska sårbarheter som gjorde det möjligt att attackera skannern direkt och få körning av sin kod i systemet, i vissa fall (t.ex. vid användning av Snyk) med root-rättigheter.

För att attackera räcker det för angriparen att initiera en kontroll av sin Dockerfile eller manifest.json som innehåller särskilt utformade metadata, eller att placera filer som Podfile och gradlew inuti bilden. Prototyper av exploateringar har förberetts för systemen
WhiteSource, Snyk,
Fossa och
Anchore. Bäst säkerhet visade paketet Clair, som ursprungligen skrevs med fokus på att säkerställa säkerhet. Problem upptäcktes inte heller i paketet Trivy. Som resultat dras slutsatsen att Docker-container-skannrar bör köras i isolerade miljöer eller endast användas för att kontrollera egna bilder, samt att man bör vara försiktig när man kopplar sådana verktyg till automatiserade kontinuerliga integrationssystem.

I FOSSA, Snyk och WhiteSource var sårbarheten relaterad till att anropa en extern paketförvaltare för att bestämma beroenden och gjorde det möjligt att köra egen kod genom att ange kommandon som touch och system i filerna gradlew och Podfile.

I Snyk och WhiteSource upptäcktes dessutom färre sårbarheten, som var kopplade till att organisera körning av systemkommandon vid analys av Dockerfile (t.ex. i Snyk kunde man via Dockerfile byta ut verktyget /bin/ls som skannern anropar, och i WhiteSource kunde kod infogas via argument i formen "echo ‘;touch /tmp/hacked_whitesource_pip;=1.0’").

I Anchore var sårbarheten orsakad av användningen av verktyget skopeo för att arbeta med docker-bilder. Utnyttjandet bestod i att lägga till parametrar av typen ‘"os": "$(touch hacked_anchore)"‘ i manifest.json-filen som infogas vid anrop av skopeo utan korrekt escapande (endast tecknen ";&" togs bort, men konstruktionen "$()" tilläts).

Samma författare genomförde en studie av effektiviteten i att upptäcka obotade sårbarheter med säkerhetsskannrar för docker-containrar och nivån av falska positiva.del 1, del 2, del 3). Här visas testresultaten för 73 bilder som innehåller kända sårbarheter, samt en bedömning av effektiviteten att identifiera standardapplikationer i bilder (nginx, tomcat, haproxy, gunicorn, redis, ruby, node).

Källa: opennet.ru