CVE-2019-5021 ist eine Schwachstelle in den Offiziellen Docker Bildern basierend auf der Alpine Linux-Distribution. Der Fehler hat es mindestens drei Jahre für, so dass die Anmeldung in den Root-Account über ein leeres Kennwort.
Der Fehler wurde ursprünglich entdeckt und ausgebessert in 2015 in in Build 3.2 von Alpine Linux Docker Bild, wenn Regressionstests wurden eingeschlossen, um künftige Angriffe zu verhindern. Jedoch, wurde eine neue begehen geschoben später im selben Jahr bedeutete Regressionstests zu vereinfachen, und hier ist, wo die Dinge schief gelaufen ist.
Was ist CVE-2019-5021 alles über?
Nach der offiziellen Beschreibung, Versionen der offiziellen Alpine Linux Docker Bilder (seit v3.3) enthält ein NULL-Kennwort für die `root` Benutzer. Der Fehler ist wahrscheinlich ein Ergebnis einer Regression eingeführt im Dezember 2015.
Aufgrund der Natur dieser Ausgabe, Systeme zum Einsatz mit betroffenen Versionen der Alpine Linux Container, die Linux-PAM nutzen, oder ein anderer Mechanismus, der das System shadow-Datei als Authentifizierungs-Datenbank verwendet, kann akzeptieren, ein NULL-Kennwort für die `root` Benutzer, die offiziellen Beratungs sagen.
Das Problem war neu entdeckt von Peter Adkins von Cisco Umbrella früher in diesem Jahr. Die Frage sollte nicht als das Bild offiziellen Alpine Linux Docker zu übersehen hat über 10 Millionen Downloads.
Was ist die Milderung?
Das root-Konto sollte explizit in Docker Bildern deaktiviert wird gebaut mit betroffenen Versionen als Basis, sagt Cisco Talos. Eine erfolgreiche auszubeuten der Verwundbarkeit ist auf die Umwelt abhängig und erfordert die freiliegenden Dienst Linux RAM oder einen anderen Mechanismus zu nutzen, die das System shadow-Datei als Authentifizierungs-Datenbank verwendet.
Außerdem, unterstützt Builds wurden aktualisiert und sind “jetzt nur von stromaufwärts minirootfs tarballs erzeugten,” wie durch ein von Natanael Copa begehen enthüllt, der Schöpfer von Alpine Linux. Release- und Update-Skripte wurden überarbeitet und in die offiziellen Alpine Linux-Image-Repository auf dem Docker Portal, Forscher sagten,.
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: