搜索

[23937] 2015-05-30_DockerHub中超过30%的官方镜像包含高危漏洞

文档创建者：s7ckTeam
浏览次数：50
最后更新：2025-01-18
2015-05-30_DockerHub中超过30%的官方镜像包含高危漏洞 D o c k e r   H u b   中 超 过   3 0 %   的 官 方 镜 像 包 含 高 危 漏 洞 L i n u x 中 国   2 0 1 5 - 0 5 - 3 0 【 编 者 的 话 】 D o c k e r   H u b 是 一 个 供 D o c k e r 开 发 者 用 来 上 传 / 下 载 容 器 镜 像 的 地 方 。 为 了 认 识 其 应 对 安 全 风 险 的 能 力 如 何 ， 我 们 对 其 中 的 镜 像 进 行 了 一 次 细 致 的 研 究 。 结 果 我 们 惊 奇 的 发 现 ， 超 过 三 成 的 官 方 仓 库 包 含 的 镜 像 疑 有 高 安 全 风 险 。 D o c k e r   H u b 是 一 个 供 D o c k e r 开 发 者 用 来 上 传 / 下 载   容 器 镜 像 的 地 方 。 为 了 认 识 其 应 对 安 全 风 险 的 能 力 如 何 ， 我 们 对 其 中 的 镜 像 进 行 了 一 次 细 致 的 研 究 。 结 果 我 们 惊 奇 的 发 现 ， 超 过 三 成 的 官 方 仓 库 包 含 的 镜 像 疑 有 高 安 全 风 险 （ 如 ： S h e l l s h o c k 、 H e a r t b l e e d 、 P o o d l e 等 ） 。 对 于 普 通 的 镜 像 ， 即 那 些 被 D o c k e r 用 户 上 传 的 ， 没 有 经 过 任 何 权 威 机 构 验   证 过 的 镜 像 ， 这 个 比 例 高 达 4 0 % （ 样 本 的 错 误 大 约 在 3 % ） 。 为 了 开 展 这 次 研 究 ， 我 们 下 载 了 D o c k e r   H u b 中 的 的 镜 像 ， 然 后 分 析 其 中 的 软 件 包 和 版 本 。 然 后 我 们 使 用 来 自 M i t r e 、 N V D （ 美 国 国 家 漏 洞 数 据 库 ） 和 L i n u x 发 行 版 自 己 的 数 据 库 来 分 析 哪 些 镜   像 易 于 受 到 攻 击 。 我 们 开 发 一 个 开 源 的 工 具   B a n y a n   C o l l e c t o r ， 并 且 使 用 一 个 叫 做 B a n y a n I n s i g h t s 的 服 务 来 生 成 这 个 研 究 中 的 数 据 。 尽 管 我 们 的 分 析 是 基 于 公 共 的 D o c k e r   H u b 进 行 的 ， 我 们 预 估 这 结 果 与 那 些 使 用 私 有 容 器 注 册 中 心 的 企 业 会 类 似 。 企 业 通 常 会 不 断 基 于 那 些 口 碑 较 好 镜 像 来 部 署 容 器 ， 依 赖 这 些 镜 像 的 周 期 更 新 来 获 取 最   新 的 软 件 包 。 尽 管 有 这 些 措 施 ， 企 业 仍 然 有 漏 洞 的 威 胁 ； 更 加 严 格 的 运 维 管 理 加 上 实 时 的 监 控 对 于 保 证 安 全 必 不 可 少 。 在 本 文 的 剩 余 部 分 ， 我 们 简 单 的 从 高 层 次 介 绍 下 安 全 漏 洞 是 如 何 分 类 ， 描 述 基 于 分 析 D o c k e r   H u b 上 官 方 和 普 通 镜 像 中 漏 洞 得 到 的 结 果 ， 然 后 讨 论 下 这 份 研 究 对 于 运 维 管 理 的 意 义 。 安 全 漏 洞 的 指 定 和 分 类 M i t r e 作 为 一 个 不 以 盈 利 为 目 的 机 构 ， 指 定 并 维 护 一 份 C V E （ 常 见 安 全 漏 洞 和 威 胁 ） 的 列 表 ， 每 一 个   C V E 描 述 了 在 广 泛 发 布 的 软 件 中 的 漏 洞 。 由 美 国 政 府 维 护 的 N V D 数 据 库 列 出 了 每 一 个 C V E 的 影 响 ， 包 含 其 波 及 的 软 件 和 相 应 的 修 复 措 施 （ 或 者 尚 未 采 取 修 复 措   施 的 ） 。 每 一 个 L i n u x 发 行 版 也 都 维 护 了 一 个 发 行 版 特 定 的 影 响 和 提 供 修 复 该 漏 洞 的 软 件 包 版 本 。 每 一 个 漏 洞 都 会 被 N V D 和 L i n u x 的 发 行 版 指 定 一 个 分 值 。 分 值 的 范 围 从 0 到 1 0 ， 7 . 0 到 1 0 . 0 属 于 高 危 漏 洞 ， 4 . 0 - 6 . 9 之 间 的 属 于 中 危   漏 洞 ， 0 - 3 . 9 的 属 于 低 危 漏 洞 。 这 个 分 类 考 虑 了 一 系 列 因 素 ， 包 括 利 用 该 漏 洞 攻 破 系 统 所 需 要 的 复 杂 度 （ 复 杂 度 越 低 ， 分 数 越 高 ） 和 该 漏 洞 可 能 会 造 成 的
影 响   （ 影 响 越 大 ， 分 值 越 高 ） 。 下 面 是 一 些 例 子 ： 1 .   高 危 漏 洞 ： 如 ： S h e l l S h o c k （ b a s h ） 、 H e a r t b l e e d （ O p e n S S L ） 2 .   中 危 漏 洞 ： 如 ： P o o d l e （ O p e n S S L ） 3 .   低 危 漏 洞 ： 如 内 存 中 数 组 的 内 存 的 分 配 可 能 会 导 致 整 形 溢 出 把 漏 洞 划 分 为 高 中 低 漏 洞 的 做 法 带 有 主 观 性 ， 一 些 公 司 也 可 能 会 根 据 自 己 的 情 况 来 重 新 分 类 。 而 且 ， N V D 指 定 的 分 值 可 能 跟 L i n u x 发 行 版 中 的 分 值 不   一 致 ， 并 且 可 能 会 随 着 时 间 推 移 而 更 改 。 我 们 的 研 究 中 使 用 的 漏 洞 的 分 值 来 源 于 U b u n t u 和 C e n t O S 发 行 版 指 定 的 分 值 ， 对 于 D e b i a n 我 们 直 接 使 用 了   N V D 数 据 库 中 分 值 ， 因 为 我 们 找 不 到 任 何 关 于 D e b i a n 发 行 版 对 漏 洞 分 类 比 较 好 的 数 据 源 。 我 们 对 D o c k e r   H u b 在 2 0 1 5 的 5 月 2 0 日 的 镜 像 做 了 一 个 快 照 ， 然 后 进 行 分 析 。 我 们 也 试 了 一 下 其 他 日 期 ， 得 出 的 结 论 十 分 相 近 。 对 于 D o c k e r   H u b 中 官 方 仓 库 的 评 估 D o c k e r 维 护 着 一 个 官 方 的 仓 库 的 列 表 ， 为 软 件 厂 商 和 机 构 （ 如 C a n o n i c a l 、 D e b i a n 、 R e d h a t 等 ） 提 供 了 一 个 即 时 更 新 它 们 最 新 容 器 镜 像 的 渠 道 。 官 方 仓 库 可 以 从 他 们 的 路 径 体 现 出 来 ， 他 们 的 路 径 在 的 命 名 空 间 下 。 举 几 个 例 子 ： ， 等 。 D o c k e r   H u b 包 含 大 约 7 5 个 官 方 的 仓 库 （ 在 我 们 写 这 篇 文 章 的 时 候 ） ， 大 概 包 含 约 1 6 0 0 的 不 同 的 标 签 ， 指 向 约 9 6 0 个 不 同 的 镜 像 。 [ 图 一 ： 官 方 有 漏 洞 的 镜 像 ] 图 一 展 示 了 根 据 分 析 D o c k e r   H u b 上 所 有 官 方 的 镜 像 的 得 出 的 主 要 结 果 。 超 过 1 / 3 的 镜 像 有 高 危 漏 洞 ， 接 近 2 / 3 的 有 高 或 中 级 危 漏 洞 。 这 些 统 计 数 据 让 人 无 法 平 静 ， 因 为 这 些 镜 像 中 一 些 也 是 下 载 量 最 多 的 镜 像 （ 一 些 有 几 十 万 的 下 载 量 ） 。 如 果 我 们 只 看 今 年 创 建 的 镜 像 ， 有 高 危 漏 洞 的 镜 像 的 比 例 仍 然 超 过 1 / 3 ， 但 是 含 有 高 和 中 级 危 漏 洞 的 镜 像 接 近 了 7 5 % 。 换 句 话 说 ， 今 年 创 建 的 镜 像 ， 每 四 个 中 就 有 三 个 存 在 较 容 易 被 利 用 的 漏 洞 ， 并 且 潜 在 影 响 非 常 大 。 l i b r a r y l i b r a r y / u b u n t u l i b r a r y / r e d i s
如 果 我 们 将 范 围 缩 小 到 哪 些 标 注 了 ( 最 新 ) 的 镜 像 ， 这 比 例 分 别 下 降 到 了 2 3 % 和 4 7 % ， 这 比 例 显 然 还 是 很 高 。 这 更 小 的 数 据 说 明 ， D o c k e r 的 用 户 和 维 护 者 们 ， 倾 向 于 将 镜 像 保 持 到 最 新 ， 但 是 老 一 些 的 镜 像 却 被 忽 略 ； 创 建 容 器 数 量 之 大 和 速 度 之 快 ， 让 老 的 镜 像 在 更 新 的 时 候 被 忽 略 。 为 了 理 解 这 些 漏 洞 ， 特 别 是 排 名 靠 前 的 ， 我 们 做 了 一 个 详 细 的 影 响 D o c k e r   H u b 的 镜 像 漏 洞 的 分 析 ： [ 图 二 ：   D o c k e r   H u b 官 方 镜 像 中 有 高 危 漏 洞 的 镜 像 ] 图 二 展 示 了 该 分 析 的 主 要 结 果 ， 并 且 表 一 列 举 了 跟 这 些 软 件 包 相 关 的 主 要 的 C V E 。 最 近 发 布 的 存 在 于 m e r c u a r i a l 的 漏 洞 在 很 多 镜 像 中 都 有 （ 大 约 2 0 % ） 。 著 名 的 O p e n S S L 漏 洞 如 H e a r t b l e e d 和 P o o d l e ， 在 近 1 0 % 的 官 方 镜 像 中 存 在 。 一 些 镜 像 还 包 含 b a s h 的   S h e l l S h o c k ( 如 C e n t o s 5 . 1 1 镜 像 中 ) 漏 洞 ， 这 个 漏 洞 在 7 个 月 前 就 被 发 布 了 。 即 便 一 些 机 构 不 使 用 这 些 包 ， 但 是 如 果 不 手 动 将 这 些 包 从 容 器 中   移 除 掉 也 会 成 为 恶 意 攻 击 的 羔 羊 。 对 于 D o c k e r   H u b 中 普 通 仓 库 的 评 估 l a s t e s t
除 了 一 些 官 方 的 仓 库 ， D o c k e r   H u b 包 含 了 一 大 部 普 通 仓 库 （ 在 写 本 文 的 时 候 大 约 有 9 5 0 0 0 个 ） ， 并 且 有 数 十 万 不 一 样 的 镜 像 。 我 们 实 验 中 随 机 选 择 了 1 7 0 0 个 镜 像 ， 然 后 对 他 们 的 内 容 的 内 容 进 行 分 析 （ 误 差 约 百 分 之 三 ） 。 [ 图 三 ： 有 漏 洞 的 普 通 镜 像 ] 图 三 显 示 了 在 分 析 了 普 通 镜 像 后 得 到 的 主 要 结 果 。 大 体 上 ， 漏 洞 的 出 现 概 率 比 官 方 镜 像 的 相 比 大 很 多 。 这 个 结 果 合 乎 预 期 ， 因 为 目 前 尚 没 有 措 施 可 以 在 将 镜 像 上 传 到 D o c k e r   H u b 前 可 以 过 滤 并 检 查 这 些 普 通 的 镜 像 。 大 约 4 0 % 的 普 通 镜 像 有 高 危 的 漏 洞 。 即 便 我 们 只 是 看 今 年 创 建 的 镜 像 ， 并 且 只 看 那 些 有 标   签 的 ， 包 含 漏 洞 威 胁 的 镜 像 的 比 例 仍 然 在 3 0 - 4 0 % 之 前 徘 徊 。 如 果 我 们 包 含 那 些 含 有 中 危 漏 洞 的 镜 像 ， 比 例 会 迅 速 升 到 7 0 % 以 上 ， 不 管 哪 个 时 间 段 都 是 如 此 。   尽 管 你 可 能 会 说 ， 这 些 镜 像 比 起 官 方 镜 像 下 载 次 数 太 少 了 ， 但 是 考 虑 到 它 们 庞 大 的 数 量 （ 几 十 万 的 规 模 ） 可 以 预 想 它 们 跟 官 方 镜 像 一 样 使 用 甚 广 。 我 们 又 分 析 了 影 响 普 通 镜 像 中 的 高 危 漏 洞 ， 图 4 展 示 了 主 要 的 结 果 ： l a t e s t
[ 图 四 ： 普 通 镜 像 中 含 有 高 危 漏 洞 的 软 件 包 ] 有 趣 的 是 ， 不 同 于 官 方 镜 像 中 首 要 祸 源 在 于 m e r c u r i a l ， 在 这 些 普 通 的 镜 像 中 ， o p e n S S L 、 b a s h 、 和 a p t 成 了 祸 源 的 榜 首 。 我 们 怀 疑   官 方 的 和 普 通 这 种 数 字 上 的 差 异 来 源 于 发 行 版 的 差 异 ， 他 们 占 据 了 这 些 镜 像 的 大 部 分 。 官 方 镜 像 通 常 基 于 D e b i a n ， 并 且 其 中 一 一 大 部 分 包 含   m e r c u r i a l 包 。 而 普 通 的 镜 像 ， 却 通 常 基 于 U b u n t u 因 而 有 b a s h 、 a p t 和 / 或 o p e n s s l 相 关 的 漏 洞 。 延 伸 容 器 技 术 带 来 软 件 开 发 中 的 变 革 ， 它 提 供 了 一 个 十 分 高 效 的 方 法 ， 可 以 将 开 发 者 开 发 的 软 件 在 数 分 钟 或 者 几 小 时 内 搬 上 生 产 环 境 运   行 ， 而 传 统 的 方 式 可 能 需 要 几 天 甚 至 数 月 。 但 是 我 们 的 数 据 显 示 这 种 优 势 有 其 弊 端 ， 没 有 谨 慎 的 运 维 和 安 全 管 理 的 措 施 ， 我 们 冒 着 让 我 们 的 软 件 生 态 环 境 更 容 易 被 攻   击 的 危 险 。 容 器 为 运 行 于 不 同 容 器 之 间 的 运 行 程 序 提 供 了 一 层 安 全 隔 离 ， 因 而 提 高 了 安 全 性 。 然 而 容 器 还 是 需 要 和 其 他 的 容 器 和 系 统 进 行 通 讯 ， 因 此 ， 由 于 镜 像 中 存 在   的 安 全 漏 洞 ， 它 们 还 是 很 容 易 被 远 程 攻 击 ， 包 含 那 些 我 们 没 有 分 析 到 的 漏 洞 。 再 者 ， 在 多 种 多 样 的 环 境 中 启 动 大 量 的 容 器 的 轻 便 与 快 捷 ， 如 在 你 的 共 有 云 上 ， 私 有 云   上 ， 笔 记 本 上 ， 都 让 追 踪 和 防 护 有 安 全 漏 洞 的 容 器 变 得 更 加 困 难 。 部 署 容 器 的 高 效 性 ， 大 大 的 加 速 了 部 署 软 件 的 多 样 性 ， 结 果 让 环 境 中 的 新 的 漏 洞 越 来 越 多 。 使 用 容 器 的 另 外 一 个 根 本 点 在 于 ， 包 管 理 已 经 被 转 移 到 了 容 器 的 内 部 ， 而 传 统 的 方 式 是 仅 仅 是 基 于 安 装 在 虚 拟 或 者 实 体 机 的 操 作 系 统 层 面 上 。 这 种 改 变 主 要   根 源 于 虚 拟 机 和 容 器 提 供 的 抽 象 处 于 不 同 的 层 面 。 虚 拟 机 提 供 的 是 以 主 机 为 中 心 的 抽 象 ， 其 特 点 是 长 期 不 停 机 一 直 运 行 ， 包 含 的 软 件 包 供 不 同 应 用 所 需 。 与 之 相 对   的 ， 容 器 提 供 的 是 一 个 更 加 以 进 程 为 主 的 抽 象 ， 其 特 点 是 短 暂 性 ， 可 以 到 处 运 行 ， 构 建 后 不 会 改 变 ， 仅 仅 包 含 运 行 一 个 应 用 所 必 须 的 软 件 包 。 任 何 更 新 都 需 要 重 新 构   建 容 器 ， 从 而 保 持 容 器 的 不 可 修 改 性 ， 这 让 任 何 的 漏 洞 同 时 被 复 制 。 另 外 ， 向 D e v O p s 模 式 的 转 变 ， 开 发 者 开 始 为 他 们 开 发 的 应 用 的 软 件 包 负 责 ， 这 意 味 着 现 在 开 发 者 开 始 负 起 了 维 护 软 件 包 的 责 任 。 除 了 操 作 系 统 的 软 件   包 ， 开 发 者 在 容 器 中 可 以 包 含 应 用 层 面 中 的 模 块 ， 如 p i p （ P y t h o n ） 、 n p m （ N o d e . J S ） 和 m a v e n （ J a v a ） 等 ， 而 这 些 都 在 我 们 的 研 究 之   外 ， 然 而 它 们 也 可 能 带 来 新 的 安 全 问 题 。 因 为 开 发 者 更 加 关 注 快 速 的 开 发 出 新 的 功 ， 这 让 保 持 老 的 镜 像 更 新 变 得 更 加 困 难 ， 正 如 我 们 的 研 究 呈 现 的 一 样 （ 如 官 方 的 与   2 0 1 年 4 月 发 布 的 C e n t O S   5 . 1 1 镜 像 仍 然 包 含 S h e l l s h o c k 漏 洞 ， 该 漏 洞 是 八 个 月 前 ， 2 0 1 4 年 9 月 被 爆 出 的 ） 。 一 个 很 好 的 避 免 这 些 问 题 的 方 式 是 经 常 用 最 新 的 更 新 重 新 构 建 镜 像 。 重 新 构 建 的 过 程 必 须 使 用 发 布 商 发 布 的 最 新 的 基 础 镜 像 ， 并 且 不 能 使 用
任 何 缓 存 的 镜 像 层 （ 如 ： 使 用 在 a p t - g e t   u p g r a d e 的 时 候 加 上 ） 。   但 是 在 一 旦 发 现 漏 洞 从 头 重 新 构 建 ， 并 且 重 新 部 署 所 有 的 容 器 的 开 销 太 大 ， 十 分 不 切 实 际 了 — —   漏 洞 出 的 频 率 太 高 ， 每 天 都 会 爆 出 好 几 次 ， 并 且 很 难 评 估 每 一 个 安 全 漏 洞 的 的 影 响 范 围 。 加 之 ， 更 新 容 器 的 软 件 包 很 可 能 给 容 器 中 的 应 用 带 来 负 面 影 响 和 不 稳 定 性 ，   而 这 即 使 用 复 杂 的 测 试 也 未 必 能 捕 捉 到 ， 这 让 人 更 加 不 情 愿 经 常 更 新 。 结 论 我 们 的 研 究 结 果 鼓 励 使 用 严 格 的 运 维 管 理 流 程 ， 实 时 的 分 析 镜 像 中 的 内 容 ， 清 楚 其 中 的 内 容 和 包 含 的 漏 洞 。 镜 像 应 该 经 过 安 全 漏 洞   的 扫 描 ， 并 且 根 据 漏 洞 的 严 重 程 度 来 标 记 是 否 需 要 更 新 。 任 何 重 大 的 漏 洞 都 应 该 被 及 时 的 发 现 ， 并 且 应 该 可 以 触 发 对 这 些 有 隐 患 的 镜 像 进 行 隔 离 机 制 。 镜 像 不 仅 仅 应   只 从 操 作 系 统 层 面 进 行 扫 描 ， 也 应 从 应 用 的 层 面 的 安 全 漏 洞 进 行 扫 描 。 这 些 流 程 应 该 被 集 成 到 持 续 构 建 的 框 架 中 ， 这 样 在 享 受 容 器 带 来 的 全 面 福 利 的 同 时 ， 仍 然 保 持   着 好 的 安 全 实 践 。 来 源 ： h t t p : / / d o c k o n e . i o / a r t i c l e / 4 0 6 阅 读 原 文 - n o - c a h c e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理