某信息安全机构披露Apline Linux当中存在一项远程代码执行缺陷，而这一发行版目前正在众多 Docker 容器内得到广泛应用。
众包Bug赏金系统Bountygraph缔造者兼研究员Max Justica于上周四表示，此项漏洞可能被恶意攻击者利用，通过中间人（简称MITM）网络访问或操作恶意软件包镜像经由apk（Alpine的默认软件包管理器）实现任意代码注入。
Justicz指出，这一漏洞特别危险。首先，由于体积小巧，因此Alpine被广泛应用于各类Docker镜像。第二，大多数软件包apk都没有通过安全的TLS连接提供服务，因此极易受到篡改。
在最糟糕的情况下，攻击者能够在Docker镜像构建过程中拦截apk的打包请求，向其中注入恶意代码，而后将其传递至目标计算机。这些计算机会对软件包进行解压缩，并在Docker容器当中运行这些代码。
Justicz在接受采访时指出，“在Alpine的默认配置当中，如果我们能够运行「apk」命令的机器进行流量MITM攻击，即可使该机器执行任意代码。甚至在恶意代码开始运行之后，我仍然可以成功执行Docker build命令。”
“一旦攻击者在已经构建的镜像上执行其代码，则在该镜像后续开始运行后，其即可对目标计算机加以全面控制。”
此项安全漏洞源自apk解压归档文件以及处理可疑代码的具体方式。Justicz发现如果恶意软件可以隐藏在软件包的commit_hooks目录当中，则其将可逃避清理，而后得以正常执行。
这一结果意味着，上游恶意攻击者或者网络窃听者能够直接将恶意软件引入Docker容器，并在未经用户允许的情况下加以运行。此时，攻击者将在受害计算机上运行该代码，意味着其将能够针对目标容器或主机系统实施进一步攻击。
Alpine的最新版本已经对apk进行了修复更新，因此我们建议开人员利用经过更新的Alpine版本重构自己的Docker镜像。
原文链接： Docker fave Alpine Linux suffers bug miscreants can exploit to poison containers
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持 码农网
猜你喜欢:
- 谷歌力推WebAssembly，要干掉JS？
- Google力推的那些前端技术有何进展？
- Gartner力推的“百页机器学习书”，“舒服”搞定概念+代码（附下载）
- F5发力应用安全架构，力推南北分层与东西精分的安全新策略
- 巨头AI框架竞争激烈，百度11项更新+1亿元力推自有平台，还缺什么？
- 破坏攻击者利用域凭据
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
计算机程序设计艺术（第1卷）
[美] 唐纳德·E. 克努特 / 苏运霖 / 国防工业出版社 / 2002-9 / 98.00元
7卷本《计算机程序设计艺术》的第1卷以基本的程序设计概念和技术开始，然后专注于信息结构——计算机内部信息的表示、数据元素之间的结构关系以及如何有效地处理它们，给出了对于模拟、数值方法、符号计算、软件和系统设计的初等应用。书中附有大量习题和答案，标明了难易程序及数学概念的使用。 此新版本增加了几十项简单且重要的算法和技术，并对有关数学预备知识作了大量修改以适应现时研究的趋势。一起来看看 《计算机程序设计艺术（第1卷）》 这本书的介绍吧!
