Дослідники безпеки з компанії Cisco відомості про вразливість (CVE-2019-5021) дистрибутив Alpine для системи контейнерної ізоляції Docker. Суть виявленої проблеми полягає в тому, що для користувача root був заданий за промовчанням порожній пароль без блокування прямого входу під root. Нагадаємо, що Alpine використовується для формування офіційних образів від проекту Docker (раніше офіційні збірки ґрунтувалися на Ubuntu, але потім були на Alpine).
Проблема проявляється починаючи зі складання Alpine Docker 3.3 і була викликана регресивною зміною, доданою в 2015 році (до версії 3.3 /etc/shadow використовувався рядок «root:!::0:::::», а після через припинення використання прапора «-d» став додаватися рядок «root:::0:::::»). Проблема була спочатку виявлена та у листопаді 2015 року, але в грудні помилково знову у складальних файлах експерментальної гілки, а потім була перенесена в стабільні зборки.
У відомостях про вразливість вказано, що проблема проявляється, зокрема, в останній гілці Alpine Docker 3.9. Розробники Alpine у березні виправлення та вразливість починаючи зі збірок 3.9.2, 3.8.4, 3.7.3 та 3.6.5, але залишається у старих гілках 3.4.x та 3.5.x, підтримка яких вже припинена. Крім того, розробники стверджують, що вектор для атаки дуже обмежений і вимагає наявності у атакуючого доступу до тієї ж інфраструктури.
Джерело: opennet.ru