Mashhur Docker konteynerlarining 20% da bo’sh parol mavjud
Docker Hub’dagi eng mashhur 1000 ta Docker konteynerlaridan 194 tasida bo’sh parol mavjud.
Docker Hub’dagi eng mashhur 1000 ta Docker konteynerlaridan taxminan 20% Alpine Linux Docker tasvirlaridagiga o’xshash zaiflikka duch kelgan, bu esa tizim xavfsizligiga putur yetkazishi mumkin. Eslatib o’tamiz, Cisco Talos tadqiqotchilari ilgari so’nggi uch yil ichida rasmiy Docker Hub portali orqali tarqatilgan Alpine Linux Docker tasvirlarida bo’sh root paroli borligini aniqlagan edilar. Kenna Security’ning xavfsizlik bo’yicha tadqiqotchisi Jerri Gamblin bu muammoni batafsilroq o’rganishga qaror qildi. U Docker Hub’dagi eng mashhur 1000 ta Docker konteynerlarini /etc/shadow faylida root:::0::::: qatorining mavjudligini tahlil qildi, bu root hisobi faol, ammo parolga ega emasligini ko’rsatadi. Ma’lum bo’lishicha, tahlil qilingan konteynerlarning 194 tasida bo’sh parol mavjud bo’lib, ular orasida Microsoft, Monsanto, HashiCorp, Mesosphere va Buyuk Britaniya hukumati konteynerlari ham bor edi (to’liq ro’yxat bu yerda mavjud).
Shuni ta’kidlash kerakki, bu muammo barcha foydalanuvchilar uchun xavf tug’dirmaydi. Faqat PAM (Pluggable Authentication Modules) yoki manba sifatida /etc/shadow ga tayanadigan boshqa autentifikatsiya mexanizmlaridan foydalanadigan Linux tizimlari zaifdir.
