{"id":34141,"date":"2019-10-31T21:56:37","date_gmt":"2019-10-31T18:56:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root\/"},"modified":"2019-10-31T21:56:37","modified_gmt":"2019-10-31T18:56:37","slug":"v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","title":{"rendered":"I 19% av de mest popul\u00e4ra Docker-avbildningarna finns det inget l\u00f6senord f\u00f6r root","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I l\u00f6rdags, den 18 maj, kontrollerade Jerry Gamblin fr\u00e5n Kenna Security 1000 av de mest popul\u00e4ra bilderna fr\u00e5n Docker Hub f\u00f6r det anv\u00e4nda l\u00f6senordet f\u00f6r anv\u00e4ndaren root. I 19 % av fallen var det tomt.<\/a><\/noindex> Bakgrund till Alpine<\/p>\n

\"I<\/a><\/noindex><\/p>\n

Anledningen till den genomf\u00f6rda unders\u00f6kningen var den Talos s\u00e5rbarhetsrapport som publicerades tidigare i m\u00e5naden (<\/h2>\n

\nTALOS-2019-0782), vars f\u00f6rfattare \u2014 tack vare uppt\u00e4ckten av Peter Adkins fr\u00e5n Cisco Umbrella \u2014 rapporterade att Docker-bilder med den popul\u00e4ra distributionen f\u00f6r containrar, Alpine, inte har n\u00e5got l\u00f6senord f\u00f6r root:<\/a><\/noindex>\u00abDe officiella versionerna av Docker-bilderna Alpine Linux (fr\u00e5n och med v3.3) inneh\u00e5ller NULL-l\u00f6senord f\u00f6r anv\u00e4ndaren root. Denna s\u00e5rbarhet uppstod till f\u00f6ljd av en regressionsfel som inf\u00f6rdes i december 2015. Problemet g\u00e4ller att system som distribuerats med problematiska versioner av Alpine Linux i containern och anv\u00e4nder Linux PAM eller n\u00e5gon annan mekanism som involverar systemfilen shadow som databas f\u00f6r autentisering, kan acceptera ett null (NULL)-l\u00f6senord f\u00f6r anv\u00e4ndaren root\u00bb.<\/p>\n

De versioner av Docker-bilder med Alpine som var k\u00e4nda f\u00f6r problemet inkluderade 3.3\u20143.9, samt den senaste utg\u00e5van edge.<\/p><\/blockquote>\n

\nF\u00f6rfattarna gav f\u00f6ljande rekommendation till anv\u00e4ndare som omfattas av problemet:<\/p>\n

\u00abRoot-kontot b\u00f6r vara tydligt inaktiverat i Docker-bilder byggda p\u00e5 problematiska versioner av Alpine. Den sannolika utnyttjandet av s\u00e5rbarheten beror p\u00e5 milj\u00f6n, eftersom dess framg\u00e5ng kr\u00e4ver en exponerad tj\u00e4nst eller applikation som anv\u00e4nder Linux PAM eller en liknande mekanism\u00bb.<\/p>\n

i Alpine versioner 3.6.5, 3.7.3, 3.8.4, 3.9.2 och edge (20190228 snapshot), och anv\u00e4ndare av de s\u00e5rbara bilderna ombads att kommentera bort raden med root i<\/p><\/blockquote>\n

\nProblemet var har \u00e5tg\u00e4rdats<\/a><\/noindex> eller att s\u00e4kerst\u00e4lla att paketet \/etc\/shadow<\/code> linux-pam Forts\u00e4ttning fr\u00e5n Docker Hub<\/code>.<\/p>\n

Jerry Gamblin ville unders\u00f6ka, \u00abhur utbredd kan praktiken av att anv\u00e4nda null-l\u00f6senord i containrar vara\u00bb. F\u00f6r detta skrev han ett litet<\/h2>\n

\nprogram, vars syfte \u00e4r ganska enkelt: Bash-skript<\/a><\/noindex>via curl-anrop till API:t p\u00e5 Docker Hub h\u00e4mtas en lista \u00f6ver de Docker-bilder som ligger d\u00e4r;<\/p>\n