19.4% из 1000 самых популярных контейнеров Docker содержат пустой пароль root

21 мая 2019 года

Wikinews-logo-ru.svg

Джерри Гамблин (Jerry Gamblin) решил выяснить насколько распространена недавно выявленная проблема в Docker-образах дистрибутива Alpine, связанная с указанием пустого пароля для пользователя root. Анализ тысячи самых популярных контейнеров из каталога Docker Hub показал, что в 194 из них (19.4%) для root установлен пустой пароль без блокировки учётной записи ("root:::0:::::" вместо "root:!::0:::::").

В случае применения в контейнере пакетов shadow и linux-pam использование пустого пароля root позволяет повысить свои привилегии внутри контейнера при наличии непривилегированного доступа к контейнеру или после эксплуатации уязвимости в непривилегированном сервисе, выполняемом в контейнере. Также можно подключиться к контейнеру с правами root при наличии доступа к инфраструктуре, т.е. возможности подключения через терминал к TTY, указанном в списке /etc/securetty. Через SSH вход с пустым паролем блокируется.

Наиболее популярными среди контейнеров с пустым паролем root являются microsoft/azure-cli, kylemanna/openvpn, governmentpaas/s3-resource, phpmyadmin/phpmyadmin, mesosphere/aws-cli и hashicorp/terraform, которые насчитывают более 10 млн загрузок. Также выделяются контейнеры govuk/gemstash-alpine (500 тыс.), monsantoco/logstash (5 млн), avhost/docker-matrix-riot (1 млн), azuresdk/azure-cli-python (5 млн) и ciscocloud/haproxy-consul (1 млн). Почти все эти контейнеры основаны на Alpine и не используют пакеты shadow и linux-pam. Исключение составляет только microsoft/azure-cli на базе Debian.

 

ИсточникиПравить


Эта статья содержит материалы из статьи «19.4% из 1000 самых популярных контейнеров Docker содержат пустой пароль root», опубликованной OpenNET и распространяющейся на условиях лицензии Creative Commons Attribution (CC BY) — указание автора, источник и лицензию.
Эта статья загружена автоматически ботом NewsBots в архив и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
 

Комментарии:19.4% из 1000 самых популярных контейнеров Docker содержат пустой пароль root