19.4% ya vyombo 1000 vya juu vya Docker vina nenosiri tupu

Jerry Gamblin aliamua kujua jinsi watu wapya waliotambuliwa wameenea shida katika picha za Docker za usambazaji wa Alpine, zinazohusishwa na kubainisha nenosiri tupu kwa mtumiaji wa mizizi. Uchambuzi wa maelfu ya makontena maarufu zaidi kutoka kwa katalogi ya Docker Hub ilionyeshwa, nini katika 194 kati ya hizi (19.4%) nenosiri tupu limewekwa kwa ajili ya mzizi bila kufunga akaunti (“mzizi:::0:::::” badala ya “mzizi:!::0::::”).

Ikiwa chombo kinatumia kivuli na vifurushi vya linux-pam, tumia nenosiri tupu la mizizi inaruhusu ongeza upendeleo wako ndani ya kontena ikiwa una ufikiaji usio na haki wa kontena au baada ya kutumia udhaifu katika huduma isiyo ya haki inayoendeshwa kwenye kontena. Unaweza pia kuunganisha kwenye chombo na haki za mizizi ikiwa una upatikanaji wa miundombinu, i.e. uwezo wa kuunganishwa kupitia terminal kwa TTY iliyoainishwa kwenye orodha /etc/securetty. Kuingia kwa nenosiri tupu kumezuiwa kupitia SSH.

Maarufu zaidi kati ya vyombo vyenye nenosiri tupu la mizizi ni microsoft/azure-cli, kylemanna/openvpn, governmentpaas/s3-rasilimali, phpmyadmin/phpmyadmin, mesosphere/aws-cli и hashicorp/terraform, ambayo ina vipakuliwa zaidi ya milioni 10. Vyombo pia vimeangaziwa
govuk/gemstash-alpine (500 elfu), monsantoco/logstash (mil 5),
avhost/docker-matrix-riot (mil 1),
azuresdk/azure-cli-python (milioni 5)
и ciscocloud/haproxy-consul (milioni 1). Takriban vyombo hivi vyote vinatokana na Alpine na hazitumii vifurushi vya kivuli na linux-pam. Isipokuwa ni microsoft/azure-cli kulingana na Debian.

Chanzo: opennet.ru