Alpine Docker rasmlari boʻsh ildiz paroli bilan joʻnatilgan

Cisco xavfsizlik tadqiqotchilari ochilgan zaiflik haqida ma'lumot (CVE-2019-5021). yig'ilishlar Docker konteynerlarini izolyatsiya qilish tizimi uchun Alp tog'lari taqsimoti. Aniqlangan muammoning mohiyati shundan iboratki, root foydalanuvchisi uchun standart parol ildiz sifatida to'g'ridan-to'g'ri kirishni bloklamasdan bo'sh parolga o'rnatilgan. Alpine Docker loyihasidan rasmiy tasvirlarni yaratish uchun foydalanilganini eslaylik (ilgari rasmiy tuzilmalar Ubuntu-ga asoslangan edi, lekin keyin bor edi. tarjima qilingan Alp tog'larida).

Muammo Alpine Docker 3.3 qurilganidan beri mavjud va 2015 yilda qo'shilgan regressiya o'zgarishi tufayli yuzaga kelgan (3.3 versiyasidan oldin /etc/shadow "root:!::0:::::" qatorini ishlatgan va keyin. “-d” bayrog‘ining eskirishi “root:::0:::::” qatori qo‘shila boshlandi. Muammo dastlab aniqlandi va belgilangan 2015 yil noyabr oyida, lekin dekabrda yana xato bilan yuzaga chiqdi eksperimental filialning qurilish fayllarida, keyin esa barqaror tuzilmalarga o'tkazildi.

Zaiflik haqidagi ma'lumotlarga ko'ra, muammo Alpine Docker 3.9 ning so'nggi bo'limida ham paydo bo'lgan. Mart oyida Alp tog'lari ishlab chiquvchilari ozod qilindi yamoq va zaiflik paydo bo'lmaydi 3.9.2, 3.8.4, 3.7.3 va 3.6.5 tuzilmalaridan boshlab, lekin allaqachon to'xtatilgan 3.4.x va 3.5.x eski filiallarida qoladi. Bundan tashqari, ishlab chiquvchilar hujum vektori juda cheklanganligini va tajovuzkordan bir xil infratuzilmaga kirishni talab qilishini ta'kidlaydilar.

Manba: opennet.ru