前 19.4 個 Docker 容器中有 1000% 的 root 密碼為空

傑裡·甘布林 (Jerry Gamblin) 決定找出新發現的病毒有多廣泛 一個問題 在 Alpine 發行版的 Docker 映像中，與為 root 使用者指定空密碼相關。 分析 Docker Hub 目錄中數千個最受歡迎的容器 顯示，什麼在 194 其中（19.4%）為 root 設定了空密碼而不鎖定帳號（「root:::0:::::」而不是「root:!::0:::::」）。

如果容器使用shadow和linux-pam套件，請使用空root密碼 它允許 如果您對容器具有非特權存取權限，或在利用容器中執行的非特權服務中的漏洞後，請升級您在容器內的權限。 如果您有權限存取基礎設施，您也可以使用 root 權限連線到容器，即能夠透過終端連接到 /etc/securetty 清單中指定的 TTY。 透過 SSH 阻止使用空白密碼登入。

最受歡迎的 root 密碼為空的容器 是 微軟/azure-cli, 凱萊曼納/openvpn, 政府paas/s3-資源, phpmyadmin/phpmyadmin, 中間層/aws-cli и Hashicorp/terraform，下載量超過 10 萬次。 容器也突出顯示
戈烏克/gemstash-阿爾卑斯山 （500萬）， 孟山都公司/洛格斯塔什 （5 億），
avhost/docker-matrix-riot （1 億），
azuresdk/azure-cli-python (5 米)
и ciscocloud/haproxy-consul （百萬）。 幾乎所有這些容器都基於Alpine，並且不使用shadow和linux-pam套件。 唯一的例外是基於 Debian 的 microsoft/azure-cli。

來源： opennet.ru