Alpine Docker-bilder levereras med tomt root-lösenord

Cisco säkerhetsforskare avslöjats sårbarhetsinformation (CVE-2019-5021) i församlingar Alpin distribution för Docker containerisoleringssystem. Kärnan i det identifierade problemet är att standardlösenordet för root-användaren var inställt på ett tomt lösenord utan att blockera direkt inloggning som root. Låt oss komma ihåg att Alpine används för att generera officiella bilder från Docker-projektet (tidigare var officiella konstruktioner baserade på Ubuntu, men sedan fanns det översatt på alpina).

Problemet har funnits sedan Alpine Docker 3.3-bygget och orsakades av en regressionsändring som lades till 2015 (innan version 3.3 använde /etc/shadow raden "root:!::0:::::", och efter utfasning av flaggan "-d" raden "root:::0:::::" började läggas till. Problemet identifierades först och fast i november 2015, men i december av misstag igen dök upp i byggfilerna för experimentgrenen och överfördes sedan till stabila byggen.

Sårbarhetsinformationen anger att problemet även dyker upp i den senaste grenen av Alpine Docker 3.9. Alpina utvecklare i mars släppte patch och sårbarhet dyker inte upp börjar med byggen 3.9.2, 3.8.4, 3.7.3 och 3.6.5, men finns kvar i de gamla grenarna 3.4.x och 3.5.x, som redan har utgått. Dessutom hävdar utvecklarna att attackvektorn är mycket begränsad och kräver att angriparen har tillgång till samma infrastruktur.

Källa: opennet.ru