CVE-2019-5021 es una vulnerabilidad en las imágenes oficiales Docker basado en la distro Linux Alpine. La falla ha estado allí durante al menos tres años, lo que permite iniciar sesión en la cuenta de root a través de una contraseña en blanco.
El error se descubrió inicialmente y parcheado en 2015 en la acumulación de 3.2 imagen Alpine Linux acoplable de, cuando se incluyeron pruebas de regresión para evitar futuras hazañas. Sin embargo, un nuevo más tarde ese mismo año fue empujado comprometer la intención de simplificar las pruebas de regresión, Y aquí es donde las cosas se torcieron.
¿Cuál es CVE-2019 hasta 5021 todo sobre?
De acuerdo con la descripción oficial, versiones de las imágenes de los Alpes Oficial Linux Docker (desde v3.3) contener una contraseña NULL para el usuario `root`. El defecto es más probablemente el resultado de una regresión introducida en diciembre de 2015.
Debido a la naturaleza de este problema, sistemas desplegados usando versiones afectadas del recipiente Alpine Linux que utilizan Linux PAM, o algún otro mecanismo que utiliza el archivo de la sombra del sistema como una base de datos de autenticación, puede aceptar una contraseña NULL para el usuario `root`, el asesor oficial dice.
El problema era redescubierto por Peter Adkins Paraguas de Cisco a principios de este año. La cuestión no debe pasarse por alto como la imagen oficial Alpine Linux tiene más de Docker 10 millón de descargas.
¿Cuál es la mitigación?
La cuenta de root debe ser desactivado de forma explícita en las imágenes Docker construido usando versiones afectadas como base, Cisco dice Talos. Una explotación exitosa de la vulnerabilidad depende del entorno y requiere el servicio expuesto a utilizar la memoria RAM Linux u otro mecanismo que utiliza el archivo de la sombra del sistema como una base de datos de autenticación.
Adicionalmente, apoyado compilaciones han sido actualizados y están “ahora sólo generada a partir de minirootfs tarballs aguas arriba,” según lo revelado por una confirmación de Natanael Copa, el creador de Linux Alpine. archivos de comandos de actualización y se han rediseñado y movido al repositorio oficial imagen Alpine Linux en el portal de Docker, investigadores dijeron.