Zo'n 200 populaire Docker-images hebben geen rootwachtwoord
Tweehonderd van de duizend populairste Docker-images blijken geen rootwachtwoord te hebben, zo stelt securitybedrijf Kenna op basis van eigen onderzoek. Eerder deze maand werd bekend dat verschillende Docker-images van Alpine Linux, een op security gerichte Linuxdistributie, iedereen met een leeg wachtwoord als root laten inloggen.
Docker is een tool waarmee ontwikkelaars een applicatie in een container kunnen uitrollen om op het onderliggende besturingssysteem te draaien. Docker-images worden voor deze containers gebruikt. Jerry Gamblin van Kenna besloot te kijken of het probleem ook bij andere images speelt. Hij onderzocht de duizend populairste Docker-images. 194 daarvan hadden geen rootwachtwoord.
In het geval van Alpine Linux werd de aanwezigheid van het lege wachtwoord als zeer ernstig beoordeeld. Het beveiligingslek kreeg op een schaal van 1 tot en met 10 wat betreft de ernst een 9,8 toegewezen. Volgens Gamblin moet het uitrollen van containers waarmee gebruikers zich als root kunnen authenticeren koste wat kost voorkomen worden, omdat het authenticeren als root geen 'best practice' voor veilige containers of systemen is. Een overzicht van de 194 images is op deze pagina te vinden.
( ik had ooit ook een leeg wachtwoord: "KoekjeztrommelSonderCookiezzz" )
Maar het is Slechte Gewoonte (tm) Dockers onder root te laten werken. Beetje als iedereen sysdba rechten geven in een (Oracle) database, "want dan werkt alles tenminste".
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
