Alpine Linux Docker安全缝隙安全公告

颁布功夫 2019-05-10

缝隙编号和级别


CVE编号：：CVE-2019-5021，，，危险级别：：严重，，，CVSS分值：：厂商自评：：9.8，，，官方未评定


影响版本

Alpine Linux Docker 3.3版本，，，3.4版本，，，3.5版本，，，3.6版本，，，3.7版本，，，3.8版本，，，3.9版本，，，Edge版本


缝隙概述


Alpine Linux Docker是一个Alpine Linux系统的镜像。


Alpine Linux Docker镜像的版本（自v3.3起）蕴含root用户的NULL密码。这个缝隙遭利用的可能性依赖于环境，，，成功利用要求被露出的服务或利用法式使用Linux PAM或者其它使用系统shadow文件作为认证数据库的机制。


这个缝隙最初据称存在于Alpine Linux Docker镜像3.2版本中并于2015年11月修复，，，通过增长回归测试阻止其再次产生。然而，，，2015年岁暮，，，一个新的提交颁布以简化该回归测试�：：笮峤淮印甧dge’构建属性文件中删除了“默认情况下禁用root”的标志，，，导致该bug在镜像的下一批版本（v3.3到3.9）中回归。了局就是/etc/shadow中出现空sp_pwdp字段，，，即将密码以加密大局保留的配置文件用户账户治理，，，从而允许在无需输入任何密码的情况下以根权限登录。


Alpine Linux Docker 官方镜像的下次次数已超过1000万次。


缝隙验证


暂无POC/EXP。


修复建议


目前厂商已颁布以下版本解决此安全问题：：https://alpinelinux.org/posts/Docker-image-vulnerability-CVE-2019-5021.html。


edge (20190228 snapshot)
v3.9.2
v3.8.4
v3.7.3

v3.6.5


如下版本没有解决此安全问题：：
v3.5
v3.4

v3.3


若是使用任何较旧的不受支持的版本，，，那么您能够通过将此行增长到Dockerfile来修复它，，，确保禁用root登录：：

 

OG东方厅·(中国大陆)


参考链接


https://alpinelinux.org/posts/Docker-image-vulnerability-CVE-2019-5021.html


https://talosintelligence.com/vulnerability_reports/TALOS-2019-0782