最近的團隊 Docker 發布安全公告，宣布未經授權訪問 Docker Hub 數據庫 由身份不明的人。 Docker 團隊於 25 年 2019 月 XNUMX 日意識到這次入侵只持續了很短一段時間。
Docker Hub 數據庫 暴露了大約 190,000 名用戶的敏感信息，包括用戶名和哈希密碼，以及 GitHub 和 Bitbucket 存儲庫的令牌，如果第三方不推薦使用這些令牌，可能會損害代碼存儲庫的完整性。
根據 Docker 的說法，數據庫中的信息包括用於 Docker Hub 上自動代碼編譯的 GitHub 和 Bitbucket 存儲庫的訪問令牌，以及一小部分用戶的用戶名和密碼。用戶數量：190,000 個用戶帳戶 他們只佔 Docker Hub 用戶的不到 5%。
事實上， 存儲在 Docker Hub 中的 GitHub 和 Bitbucket 訪問密鑰允許開發人員修改其項目的代碼 並在 Docker Hub 上自動構建鏡像。
受影響者的應用程序可能會被修改
潛在風險 對於賬戶被暴露的 190,000 個用戶來說，如果攻擊者獲得了他們的訪問令牌， 可以訪問他們的私有代碼存儲庫，他們可以根據令牌中存儲的權限進行修改。
但是，如果由於錯誤的原因更改了代碼並且部署了受損的圖像， 這可能會導致嚴重的供應鏈攻擊，因為 Docker Hub 鏡像通常用於服務器配置和應用程序。
在周五晚上發布的安全建議中， Docker 表示，它已經撤銷了所有令牌和屏幕訪問密鑰。
Docker還表示，它正在改進其整體安全流程並修改其政策。 他還宣布新的監控工具現已到位。
黃大仙禁運， 開發商很重要 誰使用過Docker Hub的自動構建， 檢查您的項目存儲庫是否存在未經授權的訪問。
以下是 Docker 在周五晚上發布的安全公告：
25 年 2019 月 XNUMX 日星期四，我們發現對存儲非用戶數據子集的單個 Hub 數據庫進行未經授權的訪問。 金融的。 發現後，我們迅速採取行動進行干預並保護該地點。
我們想讓您知道我們從正在進行的調查中了解到的情況，包括哪些 Docker Hub 帳戶受到影響以及用戶需要採取哪些操作。
這是我們學到的：
在未經授權訪問 Docker Hub 數據庫的短時間內，大約 190,000 個帳戶（不到 Hub 用戶的 5%）的敏感數據可能已被暴露。
這些數據包括一小部分用戶的用戶名和哈希密碼，以及用於 Docker 自動構建的 Github 和 Bitbucket 令牌。
採取的行動：
我們要求用戶在 Docker Hub 中更改密碼 以及共享此密碼的任何其他帳戶。
對於擁有可能受到影響的自動構建服務器的用戶，我們已撤銷 GitHub 訪問密鑰和令牌 系統會提示您重新連接到存儲庫並檢查安全日誌 看看是否有任何行動。 發生了不可預見的事件。
您可以檢查 GitHub 或 BitBucket 帳戶的安全操作，看看過去 24 小時內是否發生過任何意外訪問。
這可能會影響您當前通過我們的自動構建服務進行的構建。 您可能需要斷開並重新連接您的 Github 和 Bitbucket feed 提供商，如下所示 在以下鏈接中進行了描述。