Verschillende Docker-images van Alpine Linux, een op security gerichte Linuxdistributie, laten iedereen met een leeg wachtwoord als root inloggen. Daarvoor waarschuwt Cisco. Het gaat om de officiële Alpine Linux Docker-images sinds versie 3.3 die een "NULL password" voor de rootgebruiker bevatten.

Docker is een tool waarmee ontwikkelaars een applicatie in een container kunnen uitrollen om op het onderliggende besturingssysteem te draaien. Docker-images worden voor deze containers gebruikt. Volgens onderzoekers van Cisco is de kwetsbaarheid in de Docker-images van Alpine Linux het gevolg van een regressie die in december 2015 werd geïntroduceerd.

Het beveiligingslek, waarvan de ernst op een schaal van 1 tot en met 10 met een 9,8 is beoordeeld, is aanwezig in Alpine Docker 3.3 tot en met 3.9 en Alpine Docker Edge. "Na gesprekken met Alpine Linux bleek dat het probleem al voor onze melding in hun GitHub was gerapporteerd, maar niet als beveiligingsprobleem was aangemerkt en daarom onopgelost bleef tot het was herontdekt en gemeld door Cisco", aldus de onderzoekers.

Voor Docker-images die met de kwetsbare versies zijn gemaakt wordt aangeraden om het rootaccount uit te schakelen. Het probleem is sinds begin maart verholpen, maar Cisco heeft nu de details openbaar gemaakt.