Docker закрыл критическую уязвимость в Docker Hub, позволявшую действовать от имени других пользователей
Docker устранил критическую уязвимость в Docker Hub, из-за которой один пользователь мог публиковать, скачивать и удалять образы от имени другого. Проблема существовала около двух лет и была связана с механизмом преобразования личного аккаунта в организацию. Исправление выпущено 30 сентября, а 12 октября компания опубликовала уведомление о безопасности. По данным Docker, следов эксплуатации уязвимости не обнаружено.
Подробности
По данным Docker, источником проблемы стал механизм преобразования личного аккаунта пользователя в организацию. Именно этот функционал — конвертация personal account в organization — содержал ошибку, позволявшую обходить проверки прав доступа между пользователями. Фактически один аккаунт мог получить возможность манипулировать образами другого: публиковать, скачивать и удалять их. Уязвимость существовала около двух лет. Идентификатор CVE и точные технические параметры эксплуатации в исходном уведомлении не приводятся. С учётом характера проблемы её можно отнести к классу критических: возможность действовать от имени другого пользователя в реестре образов открывает путь к атакам на цепочку поставок, включая подмену образов и внедрение вредоносного кода в доверенные сборки.Что делать
Docker уже выпустил исправление, поэтому отдельных действий по устранению уязвимости со стороны пользователей не требуется — изменения внесены на стороне платформы. Тем не менее рекомендуется: - Проверить журналы активности Docker Hub и убедиться, что в ваших репозиториях не было подозрительных операций push, pull или удаления образов за период существования уязвимости. - Убедиться, что в организации настроены корректные права доступа и минимально необходимые привилегии для участников. - Включить MFA для учётных записей Docker Hub и ограничить число пользователей с правами на запись. - Проверить целостность используемых образов, в первую очередь тех, что публикуются от имени организации, и по возможности применять подпись образов. - Отслеживать официальные уведомления безопасности Docker для получения актуальной информации. Отдельно стоит отметить, что уязвимость существовала два года и была связана с логикой разграничения прав между аккаунтами — это ещё раз напоминает о важности регулярного аудита прав доступа и мониторинга операций в реестрах образов. Итог: Docker своевременно закрыл критическую уязвимость в Docker Hub, и свидетельств её эксплуатации нет. Однако сама природа проблемы — возможность действовать от имени другого пользователя — делает обязательной проверку логов и прав доступа для всех, кто использует реестр в продакшене.Источник: The Hacker News