Специалисты Cisco Talos предупредили о том, что Docker-образы Alpine Linux, около трех лет распространявшиеся через официальный Docker Hub, использовали пустой пароль (NULL) для root-аккаунта. Проблема затрагивала все версии Alpine Linux начиная с 3.3. Стоит заметить, что Alpine Linux – один из популярнейших дистрибутивов на Docker Hub, насчитывающий более 10 000 000 установок.
Уязвимость получила идентификатор CVE-2019-5021, и в данном случае интересен тот факт, что ее обнаружили вовсе не впервые. На проблему уже обращали внимание в августе 2015 года и исправили в ноябре. Но спустя всего три недели после выхода патча, в декабре 2015 года, баг случайно вернулся в код, и был замечен снова только в январе текущего года аналитиками Cisco. Сначала считалось, что проблема коснулась только образа Glider Labs Alpine Linux, но потом стало ясно, что официальные образы тоже пострадали.
Из-за бага атакующие имеют возможность скомпрометировать Docker-образы Alpine Linux, воспользовавшись root-аккаунтом без пароля. Хотя на Docker Hub уже были опубликованы исправленные образы Alpine Linux, обновлением, как это часто бывает, озаботятся не все. Поэтому специалисты настоятельно рекомендуют администраторам как минимум отключить root-аккаунт или задать для него кастомный пароль.
