सबसे लोकप्रिय डॉकर छवियों का 19% रूट पासवर्ड नहीं है

पिछले शनिवार, 18 मई को, केनना सिक्योरिटी के जेरी गैम्बलिन ने उन में उपयोग किए गए रूट पासवर्ड के लिए डोकर हब से 1000 सबसे लोकप्रिय छवियों की जाँच की । 19% मामलों में, वह अनुपस्थित था।

अल्पाइन के साथ पृष्ठभूमि

मिनी-अध्ययन का कारण टालोस वल्नरेबिलिटी रिपोर्ट ( TALOS-2019-0782 ) था, जो इस महीने की शुरुआत में सामने आया था, जिसके लेखक - सिस्को अम्ब्रेला से पीटर एडकिंस की खोज के लिए धन्यवाद - रिपोर्ट किया कि कंटेनर के लिए लोकप्रिय वितरण किट के साथ डॉकरों की छवियों के लिए पासवर्ड नहीं है। जड़:

“अल्पाइन लिनक्स डॉकर छवियों के आधिकारिक संस्करण (v3.3 के साथ शुरू) में रूट उपयोगकर्ता के लिए एक NULL पासवर्ड होता है। यह भेद्यता दिसंबर 2015 में शुरू किए गए एक प्रतिगमन के परिणामस्वरूप दिखाई दी। इसका सार यह है कि सिस्टम एक कंटेनर में अल्पाइन लिनक्स के समस्याग्रस्त संस्करणों के साथ तैनात है और लिनक्स पीएएम या एक अन्य तंत्र का उपयोग करता है जो प्रमाणीकरण प्रणाली के रूप में छाया प्रणाली फ़ाइल का उपयोग करता है रूट उपयोगकर्ता के लिए एक NULL पासवर्ड स्वीकार कर सकता है। "

समस्या के लिए परीक्षण किए गए डॉकर चित्रों के अल्पाइन संस्करणों को 3.3–3.9 समावेशी, साथ ही नवीनतम बढ़त जारी किया गया था।

लेखकों ने समस्या से प्रभावित उपयोगकर्ताओं के लिए निम्नलिखित सिफारिश की:

“रूट खाते को स्पष्ट रूप से अल्पाइन के समस्याग्रस्त संस्करणों के आधार पर बनाई गई डॉक छवियों में अक्षम होना चाहिए। भेद्यता का संभावित दोहन पर्यावरण पर निर्भर करता है, क्योंकि इसकी सफलता के लिए लिनक्स पीएएम या इसी तरह के अन्य तंत्र का उपयोग करते हुए एक सेवा या अनुप्रयोग की आवश्यकता होती है। "

समस्या अल्पाइन संस्करणों में 3.6.5, 3.7.3, 3.8.4, 3.9.2 और किनारे (20190228 स्नैपशॉट) में तय की गई थी, और इससे प्रभावित छवियों के मालिकों को लाइन में /etc/shadow में रूट के साथ टिप्पणी करने या यह सुनिश्चित करने की पेशकश की गई थी कि linux-pam पैकेज गायब है linux-pam

डॉकटर हब के साथ जारी रखा

जेरी गैंबलिन ने पूछताछ करने का फैसला किया, "कंटेनरों में अशक्त पासवर्डों का उपयोग करने का अभ्यास कितना व्यापक हो सकता है।" ऐसा करने के लिए, उन्होंने एक छोटी बैश स्क्रिप्ट लिखी , जिसका सार बहुत सरल है:

• डॉकर हब में एपीआई के लिए एक कर्ल अनुरोध के माध्यम से, वहां होस्ट की गई डॉकर छवियों की एक सूची का अनुरोध किया गया है;
• jq के माध्यम से इसे popularity क्षेत्र द्वारा क्रमबद्ध किया जाता है, और प्राप्त परिणामों के पहले हजार अवशेष;
• उनमें से प्रत्येक के लिए docker pull का प्रदर्शन किया जाता है;
• डॉकर हब से प्राप्त प्रत्येक छवि के लिए, docker run /etc/shadow फ़ाइल से पहली पंक्ति को पढ़ने के साथ किया जाता है;
• यदि स्ट्रिंग मान root:::0::::: , छवि का नाम एक अलग फ़ाइल में सहेजा गया है।

क्या हुआ था? इस फ़ाइल में लिनक्स सिस्टम के साथ लोकप्रिय डॉकर चित्रों के नाम के साथ 194 लाइनें थीं, रूट उपयोगकर्ता जिसमें पासवर्ड नहीं है:

“इस सूची में सबसे प्रसिद्ध नामों में govuk / Governmentpaas, hashicorp, microsoft, monsanto और mesosphere थे। और kylemanna / openvpn सूची से सबसे लोकप्रिय कंटेनर है, इसके आंकड़े 10 मिलियन से अधिक खींचते हैं। "

हालांकि, यह याद रखने योग्य है कि इस घटना का मतलब उन प्रणालियों की सुरक्षा में प्रत्यक्ष भेद्यता नहीं है जो उनका उपयोग करते हैं: यह सब इस बात पर निर्भर करता है कि उनका उपयोग कैसे किया जाता है (ऊपर अल्पाइन मामले से टिप्पणी देखें) । हालांकि, हमने पहले ही कई बार "इस कल्पित की नैतिकता" को देखा है: स्पष्ट सादगी में अक्सर एक नकारात्मक पहलू होता है, जिसे हमेशा याद रखना चाहिए और जिसके परिणामों को आपकी प्रौद्योगिकी अनुप्रयोग परिदृश्यों में ध्यान में रखा जाना चाहिए।

पुनश्च

हमारे ब्लॉग में भी पढ़ें:

• " डॉकर हब पर छवियों में बुनियादी ऑपरेटिंग सिस्टम पर आंकड़े ";
• " सुरक्षा-मांग वाले वातावरण में डोकर और कुबेरनेट्स ";
• " रनवे में कमजोरता सीवीई-2019-5736, मेजबान पर रूट विशेषाधिकार प्राप्त करने की अनुमति देता है ";
• " कमजोर डॉकटर वीएम - डॉकटर और पंचिंग द्वारा एक आभासी पहेली खेल ।"