Alpine Linux Docker清静误差清静通告

宣布时间 2019-05-10

误差编号和级别


CVE编号：CVE-2019-5021， ，，危险级别：严重， ，，CVSS分值：厂商自评：9.8， ，，官方未评定


影响版本

Alpine Linux Docker 3.3版本， ，，3.4版本， ，，3.5版本， ，，3.6版本， ，，3.7版本， ，，3.8版本， ，，3.9版本， ，，Edge版本


误差概述


Alpine Linux Docker是一个Alpine Linux系统的镜像。。。。。。。。


Alpine Linux Docker镜像的版本（自v3.3起）包括root用户的NULL密码。。。。。。。。这个误差遭使用的可能性依赖于情形， ，，乐成使用要求被袒露的效劳或应用程序使用Linux PAM或者其它使用系统shadow文件作为认证数据库的机制。。。。。。。。


这个误差最初据称保存于Alpine Linux Docker镜像3.2版本中并于2015年11月修复， ，，通过添加回归测试阻止其再次爆发。。。。。。。。然而， ，，2015年年尾， ，，一个新的提交宣布以简化该回归测试。。。。。。。。后续提交从‘edge’构建属性文件中删除了“默认情形下禁用root”的标记， ，，导致该bug在镜像的下一批版本（v3.3到3.9）中回归。。。。。。。。效果就是/etc/shadow中泛起空sp_pwdp字段， ，，即将密码以加密形式生涯的设置文件用户账户治理， ，，从而允许在无需输入任何密码的情形下以根权限登录。。。。。。。。


Alpine Linux Docker 官方镜像的下次次数已凌驾1000万次。。。。。。。。


误差验证


暂无POC/EXP。。。。。。。。


修复建议


现在厂商已宣布以下版本解决此清静问题：https://alpinelinux.org/posts/Docker-image-vulnerability-CVE-2019-5021.html。。。。。。。。


edge (20190228 snapshot)
v3.9.2
v3.8.4
v3.7.3

v3.6.5


如下版本没有解决此清静问题：
v3.5
v3.4

v3.3


若是使用任何较旧的不受支持的版本， ，，那么您可以通过将此行添加到Dockerfile来修复它， ，，确保禁用root登录：

 

万利国际官网(中国游)有限公司


参考链接


https://alpinelinux.org/posts/Docker-image-vulnerability-CVE-2019-5021.html


https://talosintelligence.com/vulnerability_reports/TALOS-2019-0782