לאחרונה הצוות של דוקר הוציא ייעוץ אבטחה כדי להודיע על גישה בלתי מורשית למסד נתונים של Docker Hub על ידי אדם לא מזוהה. צוות דוקר התוודע לחדירה שנמשכה תקופה קצרה בלבד ב- 25 באפריל 2019.
מסד הנתונים של Docker Hub חשף מידע רגיש לכ -190,000 משתמשים, כולל שמות משתמש וסיסמאות גיבובוכן אסימונים למאגרי GitHub ו- Bitbucket שהשימוש בהם אינו מומלץ על ידי צד שלישי עלול לפגוע בשלמותם של מאגרי הקוד.
על פי חוות דעתו של דוקר, המידע בבסיס הנתונים כלל אסימני גישה למאגרי GitHub ו- Bitbucket המשמשים לאיסוף קוד אוטומטי ב- Docker Hub, כמו גם שמות משתמש וסיסמאות באחוז משתמשים קטן: 190,000 חשבונות משתמשים. הם מייצגים פחות מ -5% ממשתמשי Docker Hub.
למעשה, מפתחות הגישה של GitHub ו- Bitbucket המאוחסנים ב- Docker Hub מאפשרים למפתחים לשנות את קוד הפרויקט שלהם ולהדר אוטומטית את התמונה ל- Docker Hub.
ניתן לשנות את היישומים של המושפעים
הסיכון הפוטנציאלי עבור 190,000 המשתמשים שחשבונותיהם נחשפו היא שאם תוקף מקבל גישה לאסימני הגישה שלהם, תוכל לקבל גישה למאגר הקוד הפרטי שהם יוכלו לשנות על פי הרשאות המאוחסנות באסימון.
עם זאת, אם הקוד שונה מהסיבות הלא נכונות ותמונות שנפרצו נפרסו, זה יכול להוביל להתקפות חמורות בשרשרת האספקהכמו תמונות Docker Hub משמשות בדרך כלל ביישומי שרת ותצורות.
בייעוץ האבטחה שלך שפורסם בערב שישי, דוקר אמר כי הוא כבר ביטל את כל האסימונים ומפתחות הגישה על המסך.
דוקר גם אמר כי הוא משפר את תהליכי האבטחה הכוללים שלו ובודק את המדיניות שלו. הוא גם הודיע שכלי הניטור החדשים קיימים כעת.
עם זאת, חשוב שמפתחים, שהשתמשו בבנייה האוטומטית של Docker Hub, בדוק במאגרי הפרויקטים שלך גישה לא מורשית.
הנה ייעוץ האבטחה שפרסם דוקר ביום שישי בערב:
ביום חמישי, 25 באפריל 2019, גילינו גישה בלתי מורשית למסד נתונים Hub יחיד המאחסן תת-קבוצה של נתונים שאינם משתמשים. כַּספִּי עם הגילוי, אנו פועלים במהירות להתערב ולהגן על האתר.
אנו רוצים להודיע לך מה למדנו מהחקירה המתמשכת שלנו, כולל אילו חשבונות Docker Hub מושפעים ואילו פעולות המשתמשים צריכים לבצע.
זה מה שלמדנו:
במהלך תקופה קצרה של גישה לא מורשית למסד נתונים של Docker Hub, ייתכן שנחשפו נתונים רגישים מכ -190,000 חשבונות (פחות מ -5% ממשתמשי Hub).
הנתונים כוללים את שמות המשתמש והסיסמאות הגיבוביים של אחוז קטן מהמשתמשים הללו, כמו גם אסימונים של Github ו- Bitbucket לבניית Docker אוטומטית.
פעולה לביצוע:
אנו מבקשים מהמשתמשים לשנות את הסיסמה שלהם ב- Docker Hub וכל חשבון אחר שמשתף את הסיסמה הזו.
עבור משתמשים עם שרתי בנייה אוטומטית שעשויים להיות מושפעים, ביטלנו את מפתחות הגישה ואסימונים מ- GitHub ואתה מתבקש להתחבר מחדש למאגרים שלך ולבדוק את יומני האבטחה לראות אם יש פעולה כלשהי. אירועים לא צפויים התרחשו.
אתה יכול לבדוק את פעולות האבטחה בחשבונות GitHub או BitBucket כדי לראות אם הייתה גישה בלתי צפויה במהלך 24 השעות האחרונות.
זה עשוי להשפיע על המבנים הנוכחיים שלך משירות הבנייה האוטומטי שלנו. ייתכן שיהיה עליך לנתק ולחבר מחדש את ספק המקור שלך Github ו- Bitbucket כמו מתואר בקישור למטה.