19.4% ng nangungunang 1000 Docker container ay naglalaman ng walang laman na root password

Nagpasya si Jerry Gamblin na alamin kung gaano kalawak ang bagong nakilala problema sa mga larawan ng Docker ng Alpine distribution, na nauugnay sa pagtukoy ng walang laman na password para sa root user. Pagsusuri ng libu-libong pinakasikat na container mula sa catalog ng Docker Hub ipinakita, ano sa 194 sa mga ito (19.4%) root ay nakatakda sa isang walang laman na password nang hindi nilo-lock ang account (“root:::0:::::” sa halip na “root:!::0:::::”).

Kung ang container ay gumagamit ng shadow at linux-pam packages, gumamit ng walang laman na root password ay nagbibigay-daan sa palakihin ang iyong mga pribilehiyo sa loob ng container kung mayroon kang hindi karapat-dapat na pag-access sa container o pagkatapos na pagsamantalahan ang isang kahinaan sa isang hindi magandang serbisyong tumatakbo sa container. Maaari ka ring kumonekta sa lalagyan na may mga karapatan sa ugat kung mayroon kang access sa imprastraktura, i.e. kakayahang kumonekta sa pamamagitan ng terminal sa TTY na tinukoy sa /etc/securetty list. Ang pag-login gamit ang isang blangkong password ay naharang sa pamamagitan ng SSH.

Pinakasikat sa mga mga lalagyan na may walang laman na root password ay microsoft/azure-cli, kylemanna/openvpn, governmentpaas/s3-resource, phpmyadmin/phpmyadmin, mesosphere/aws-cli и hashicorp/terraform, na mayroong mahigit 10 milyong pag-download. Ang mga lalagyan ay naka-highlight din
govuk/gemstash-alpine (500 libo), monsantoco/logstash (5 milyon),
avhost/docker-matrix-riot (1 milyon),
azuresdk/azure-cli-python (5 milyon)
и ciscocloud/haproxy-consul (1 milyon). Halos lahat ng mga container na ito ay nakabatay sa Alpine at hindi gumagamit ng shadow at linux-pam packages. Ang tanging pagbubukod ay ang microsoft/azure-cli batay sa Debian.

Pinagmulan: opennet.ru