CVE-2019-5021：Alpine Linux DockerイメージにハードコードされたNULL rootパスワードが発見
2015年12月のバージョン3.3以降のAlpine Linux Docker Imagesに、ハードコードされたNULL rootユーザパスワードの脆弱性が発見されました。ユーザーには、rootユーザー、またはシステムシャドウファイルを認証データベースとして利用するサービスを無効にすることをお勧めします。
背景
2015年11月に、Alpine Linux Docker Imagesのバグが修正され、/etc/shadowファイルでrootユーザーのNULLパスワードが受け入れられないようになりました。しかし、その8日後、この修正を誤って削除したAlpine Linuxプロジェクトに更新がプッシュされ、それ以降、Linux PAMのようなサービスがシステムで実行されている場合、認証データベースとして/etc/shadowが使用されているため、3.3から3.9までのすべてのバージョンのAlpine LinuxでrootユーザーのNULLパスワードが受け入れられるようになりました。
分析
2019年5月8日、Cisco Talosはこの脆弱性の発見についてAlpine Linuxチームに報告した後、情報を公開しました。rootアカウントはデフォルトで有効になっており、アカウントが明示的にロックされていない限り、影響を受けるバージョンではrootアカウントが空白のパスワードを持つものとして扱います。
ソリューション
サポートされている最新バージョンのAlpine Docker（3.6.5、3.7.3、3.8.4、3.9.3、およびedge）にアップグレードすると、この脆弱性は修正されます。
現時点でアップグレードできない場合は、影響を受けるすべてのバージョンのAlpine Linux Docker Imagesでrootアカウントを完全に無効にすることをお勧めします。ただし、Alpine Linuxアセットが/etc/shadowファイルをパスワードデータベースとして扱うサービスを使用していない場合、rootアカウントが有効になっていてもこの脆弱性は悪用されません。
影響を受けているシステムの特定
この脆弱性の年齢と性質により、Tenableを使用する場合、パスワードのない「root」アカウントのプラグインは、ホストが悪用可能な場合、プラグインを更新または変更することなく、警告します。いつものように、空白またはデフォルトのパスワードを含む設定のスキャンには、デフォルトのUnixアカウントファミリーを含めることをお勧めします。
詳細情報
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォーム、 Tenable.io の詳細情報をご覧ください。今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
Ryan Seguin
Security Response Manager
Ryan joined Tenable in 2013 as a customer support engineer assisting customers with technical troubleshooting and product education. After that, he helped create dashboard and report templates for SecurityCenter that users can download through the Tenable.sc feed. Now Ryan is a member of the Security Response team, informing customers of the latest security threats, and providing in-depth analytics for today’s most critical vulnerabilities.
プライベートの時間には... Ryan is a retro video game console/arcade hardware enthusiast and modder, and he is also studying Japanese and hopes to one day be fluent.
関連記事
Volt Typhoon: What State and Local Government Officials Need to Know
Increased activity from the state-sponsored threat group Volt Typhoon raises concerns about the cybersecurity of U.S. critical infrastructure. Here’s how you can identify potential exposures and attack paths....
Cybersecurity Snapshot: Guide Unpacks Event-Logging Best Practices, as FAA Proposes Stronger Cyber Rules for Airplanes
Looking to sharpen your team’s event logging and threat detection? A new guide offers plenty of best practices. Plus, the FAA wants airplanes to be more resilient to cyberattacks. Meanwhile, check out the critical vulnerabilities Tenable discovered in two Microsoft AI products. And get the latest on...
Detecting Risky Third-party Drivers on Windows Assets
Kernel-mode drivers are critical yet risky components of the Windows operating system. Learn about their functionality, the dangers they pose, and how Tenable's new plugins can help identify and mitigate vulnerabilities using community-driven resources like LOLDrivers....
- Threat Intelligence
- Threat Management
- Vulnerability Management
- Vulnerability Scanning