廣泛使用的容器應(yīng)用程序存儲庫是數(shù)據(jù)泄露的受害者

Docker警告數(shù)據(jù)泄露會影響其Docker Hub存儲庫的大約190,000個用戶的容器映像。該漏洞最初是由Docker于4月26日在發(fā)送給Docker Hub用戶的電子郵件中報告的，揭示了前一天4月25日發(fā)現(xiàn)的數(shù)據(jù)泄露事件.Docker Inc.是開源Docker容器背后的主要商業(yè)贊助商使開發(fā)人員能夠?qū)?yīng)用程序構(gòu)建，打包和部署為容器的技術(shù)。Docker Hub是Docker用戶的熱門存儲庫，可以找到可供運行的免費Docker應(yīng)用程序映像。

“在未經(jīng)授權(quán)訪問Docker Hub數(shù)據(jù)庫的短暫時間內(nèi)，大約有190,000個帳戶的敏感數(shù)據(jù)可能已暴露(不到5%的Hub用戶)，”Docker支持總監(jiān)Kent Lamb在發(fā)送給Docker的電子郵件中寫道Hub用戶。“數(shù)據(jù)包括這些用戶中的一小部分用戶名和散列密碼，以及Docker autobuild的GitHub和Bitbucket令牌。”

泊塢樞紐是推出在2014年6月由碼頭工人一起公司公司的泊塢1.0版本。由于DockerCon會議將于4月30日在舊金山舉行，因此新數(shù)據(jù)泄露事件對Docker來說尤為不合時宜。

違反影響

根據(jù)Docker的說法，數(shù)據(jù)泄露涉及未經(jīng)授權(quán)訪問單個Docker Hub數(shù)據(jù)庫，該數(shù)據(jù)庫僅存儲非財務(wù)用戶數(shù)據(jù)的子集。目前尚不清楚違規(guī)行為是如何發(fā)生的，或者攻擊者可能有多長時間未經(jīng)授權(quán)訪問。

Docker Hub包含許多不同類型的應(yīng)用程序映像，并被各種用戶使用。Docker在 常見問題解答中強調(diào)了沒有官方應(yīng)用程序圖像被泄露的事件。官方圖片是Docker及其合作伙伴開發(fā)的圖片，受益于額外的真實性和審查。

“我們?yōu)楣俜綀D像制定了額外的安全措施，包括git提交上的GPG簽名以及公證人簽名，以確保每個圖像的完整性，”Docker說。

公證是一種代碼簽名技術(shù)，它利用開源的更新框架(TUF)，它提供多層驗證和檢查，以幫助維護應(yīng)用程序映像及其更新的安全性和真實性。

這種漏洞對于開發(fā)人員尤為重要，而不僅僅是Docker Hub的常規(guī)用戶。

“對于所有Docker Hub用戶，不需要采取任何措施來保護您的安全，”Docker表示。“密碼重置鏈接已發(fā)送給可能泄露密碼哈希的任何用戶。”

Docker被廣泛用作DevOps工具鏈的一部分，其中在GitHub和Bitbucket上開發(fā)的代碼會定期自動構(gòu)建，容器映像會自動部署到Docker Hub，作為構(gòu)建過程的一部分。

“具有autobuild并且已經(jīng)將GitHub或Bitbucket存儲庫取消鏈接的用戶將需要重新鏈接這些存儲庫，”Docker說。

分析

“這次襲擊可能會產(chǎn)生相當(dāng)大的影響 - 但現(xiàn)在要知道這一點還為時尚早，”Twistlock首席技術(shù)官John Morello在一篇博文中寫道。“訪問Hub帳戶意味著對repos的讀/寫訪問權(quán)限，互聯(lián)網(wǎng)上的任何人都可以通過簡單的docker pull myrepo / myimage輕松重復(fù)使用。”

Morello補充說，任何將其帳戶連接到GitHub的Docker Hub用戶都應(yīng)該查看訪問權(quán)限以識別任何潛在的異常情況。

總體而言，Docker建議受影響的用戶：

更改其Docker Hub帳戶密碼。

查看GitHub活動。

取消鏈接，然后重新鏈接GitHub訪問權(quán)限。