某資訊保安機構披露Alpine Linux當中存在一項遠端程式碼執行缺陷，而這一發行版目前正在眾多Docker容器內得到廣泛應用。
眾包Bug賞金系統Bountygraph締造者兼研究員Max Justica於上週四表示，此項漏洞可能被惡意攻擊者利用，透過中間人（簡稱MITM）網路訪問或操作惡意軟體包映象經由apk（Alpine的預設軟體包管理器）實現任意程式碼註入。
Justicz指出，這一漏洞特別危險。首先，由於體積小巧，因此Alpine被廣泛應用於各類Docker映象。第二，大多數軟體包apk都沒有透過安全的TLS連線提供服務，因此極易受到篡改。
在最糟糕的情況下，攻擊者能夠在Docker映象構建過程中攔截apk的打包請求，向其中註入惡意程式碼，而後將其傳遞至標的計算機。這些計算機會對軟體包進行解壓縮，併在Docker容器當中執行這些程式碼。
Justicz在接受採訪時指出，“在Alpine的預設配置當中，如果我們能夠執行「apk」命令的機器進行流量MITM攻擊，即可使該機器執行任意程式碼。甚至在惡意程式碼開始執行之後，我仍然可以成功執行Docker build命令。”
“一旦攻擊者在已經構建的映象上執行其程式碼，則在該映象後續開始執行後，其即可對標的計算機加以全面控制。”
此項安全漏洞源自apk解壓歸檔檔案以及處理可疑程式碼的具體方式。Justicz發現如果惡意軟體可以隱藏在軟體包的commit_hooks目錄當中，則其將可逃避清理，而後得以正常執行。
這一結果意味著，上游惡意攻擊者或者網路竊聽者能夠直接將惡意軟體引入Docker容器，併在未經使用者允許的情況下加以執行。此時，攻擊者將在受害計算機上執行該程式碼，意味著其將能夠針對標的容器或主機系統實施進一步攻擊。
Alpine的最新版本已經對apk進行了修複更新，因此我們建議開人員利用經過更新的Alpine版本重構自己的Docker映象。
原文連結：https://www.theregister.co.uk/2018/09/15/alpine_linux_bug/
Kubernetes應用實戰培訓將於2018年10月12日在深圳開課，3天時間帶你係統學習Kubernetes。本次培訓包括：容器基礎、Docker基礎、Docker進階、Kubernetes架構及部署、Kubernetes常用物件、Kubernetes網路、儲存、服務發現、Kubernetes的排程和服務質量保證、監控和日誌、Helm、專案實踐等，點選下方圖片檢視詳情。
長按二維碼向我轉賬
受蘋果公司新規定影響，微信 iOS 版的贊賞功能被關閉，可透過二維碼轉賬支援公眾號。
文章已於修改
![]()
微信掃一掃
使用小程式
知識星球