💻 computer science

Vulnerabilities, Secrets and Misconfiguration in the Highest-Exposure Docker Hub Images

Este artículo presenta ChimangoScan, un flujo de trabajo a gran escala que analiza las imágenes de Docker Hub más expuestas utilizando seis escáneres independientes para revelar que las vulnerabilidades y las configuraciones erróneas son casi universales, que los resultados de los escáneres dependen altamente de la herramienta con un bajo nivel de acuerdo, y que la mayoría de los secretos detectados son falsos positivos.

Autores originales: Cristhian Kapelinski, Beatriz Machado, Diego Kreutz

Publicado 2026-08-05

📖 6 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Cristhian Kapelinski, Beatriz Machado, Diego Kreutz

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina el internet como una ciudad enorme y bulliciosa donde el software es la savia vital. En esta ciudad, la mayoría de las aplicaciones ya no se construyen desde cero; se ensamblan como sets de LEGO utilizando bloques prefabricados llamados "contenedores". Estos contenedores son como cajas de transporte estandarizadas que contienen todo lo que una aplicación necesita para funcionar, desde el código hasta las herramientas. El almacén central donde todos guardan y toman estas cajas se llama Docker Hub. Es el corazón de la cadena de suministro de software, gestionando miles de millones de descargas cada mes.

Sin embargo, al igual que un almacén real, si una caja se construye con un ladrillo agrietado (una vulnerabilidad) o tiene un cierre flojo (una desconfiguración), cada uno de los edificios construidos utilizando esa caja heredará el defecto. Peor aún, algunas cajas contienen trampas ocultas como cajas fuertes abiertas (secretos o contraseñas) dejadas en su interior. Durante años, los expertos en seguridad han intentado contar cuántas de estas cajas peligrosas existen, pero normalmente han dependido de un solo "guardia de seguridad" (un escáner) para realizar la inspección. Esto es como intentar encontrar todos los baches en una ciudad con solo un par de ojos; podrías pasar por alto muchas cosas, o ver cosas que en realidad no están ahí. La gran pregunta es: ¿Qué tan peligroso es realmente este almacén y nos da el uso de un solo escáner una imagen verdadera?

La Gran Búsqueda del Detective de Docker

Un equipo de investigadores de Brasil, llamándose a sí mismos ChimangoScan, decidió abordar este misterio con una investigación masiva y de múltiples capas. En lugar de contratar a un solo guardia de seguridad, construyeron un super-pipeline que desplegó seis escáneres diferentes para inspeccionar las cajas más populares en el almacén de Docker Hub. Su objetivo no era solo contar las cajas malas, sino averiguar cuáles importaban más.

El "Puntaje de Exposición": Por qué algunas cajas importan más

Imagina un solo ladrillo agrietado en la base de una piedra de cimentación utilizada por un rascacielos frente a un ladrillo agrietado en un pequeño cobertizo de jardín. El defecto del rascacielos es un desastre; el del cobertizo es una molestia menor. Los investigadores se dieron cuenta de que simplemente contar cuántas veces se descargaba una caja no era suficiente. Necesitaban saber cuántas otras cajas se construían encima de ella.

Crearon una nueva métrica llamada Puntaje de Exposición. Piensa en ello como un "radio de peligro". Si una imagen base (como una versión popular de Linux) se descarga 100 veces, pero también es la base para otras 1,000 imágenes que se descargan 100 veces cada una, su puntaje de exposición es masivo. El equipo clasificó las 52,895 imágenes superiores por este puntaje. Estas no eran solo las más descargadas; eran aquellas cuyos defectos repercutirían en la mayor cantidad de personas. En total, estas imágenes superiores representaban el 84.7% de todas las 663.8 mil millones de extracciones (pulls) registradas en la historia.

Los Hallazgos: Una Ciudad Llena de Grietas

Cuando ChimangoScan ejecutó sus seis escáneres en estas imágenes de alta exposición, los resultados fueron sorprendentemente claros: casi todo estaba roto.

Las vulnerabilidades están en todas partes: El 96.3% de las imágenes portaban al menos una vulnerabilidad de software conocida. Aún más aterrador, el 93.4% de ellas tenía una vulnerabilidad "crítica", el tipo que podría permitir a un hacker tomar el control del sistema.
Las malas configuraciones son la norma: El 98.0% de las imágenes tenían desconfiguraciones, como ejecutar como un usuario "root" (el equivalente digital de darle a un extraño la llave maestra del edificio) o carecer de controles de seguridad.
Los secretos son complicados: Los escáneres encontraron "secretos" (como contraseñas o claves API) en el 76.9% de las imágenes. Sin embargo, cuando los investigadores revisaron manualmente estos casos, descubrieron un gran detalle: el 99.7% de ellos eran falsas alarmas. Eran simplemente claves de ejemplo, datos de prueba o información pública, no credenciales reales robadas. Los escáneres estaban gritando "¡Fuego!" principalmente porque olían el humo de una tostada quemada, no de un incendio real.

El Problema del Escáner: Una Herramienta No es Suficiente

Quizás el descubrimiento más importante fue sobre las herramientas mismas. Los investigadores encontraron que los seis escáneres no estaban de acuerdo en lo que veían.

Si usaras un solo escáner, obtendrías una imagen muy diferente del nivel de peligro que si usaras otro.

Al observar vulnerabilidades distintas, solo el 2.7% fueron encontradas por los tres escáneres de vulnerabilidades.
Un asombroso 66.8% de las vulnerabilidades fueron encontradas por solo uno de los escáneres.

Esto significa que si una empresa confía en una sola herramienta de seguridad, es probable que esté pasando por alto dos de cada tres problemas potenciales. El "puntaje de seguridad" de una imagen no es un hecho absoluto; es, en gran medida, un artefacto de qué herramienta utilizaste para medirlo.

El Efecto de "Herencia"

El estudio también mostró qué tan peligroso puede ser un solo defecto cuando se encuentra en una imagen base popular. Encontraron que un solo defecto crítico en una librería como zlib o glibc (que se usan en casi todas las imágenes base) podría teóricamente afectar al 47.3% de la exposición de todo el ecosistema. Un mal ladrillo en la base de una imagen base popular no solo daña esa imagen; compromete a todo el árbol genealógico de aplicaciones construidas sobre ella.

Qué Significa Esto para Ti

Los investigadores concluyeron que no podemos confiar en un solo número de un solo escáner. Para mantener segura la cadena de suministro de software, necesitamos:

Usar múltiples escáneres: Dado que ninguna herramienta solitaria lo atrapa todo, es necesario ejecutar una batería de diferentes escáneres para obtener una imagen real.
Priorizar por exposición: Corregir los defectos en las imágenes base más "expuestas" (aquellas sobre las cuales todos construyen) salvará a más personas que corregir defectos en imágenes oscuras y rara vez utilizadas.
No entrar en pánico por cada alerta de "secreto": Dado que la mayoría de los secretos detectados son falsos positivos, necesitamos mejores formas de verificarlos antes de tratarlos como emergencias.

En resumen, el almacén de Docker Hub está lleno de grietas, y las grietas en la base son las más peligrosas. Pero la forma en que medimos esas grietas importa tanto como las grietas mismas. Necesitamos más ojos en el trabajo para ver el panorama completo.

Resumen Técnico: Vulnerabilidades, Secretos y Desconfiguraciones en las Imágenes de Docker Hub con Mayor Exposición

Planteamiento del Problema
Docker Hub sirve como el registro fundacional para la cadena de suministro de software contenedorizado, albergando más de 14 millones de imágenes y facilitando cientos de miles de millones de descargas. Sin embargo, las mediciones de seguridad a gran escala en este ecosistema son infrecuentes e históricamente dependen de un único escáner de vulnerabilidades. Esta dependencia crea una dependencia de herramientas no cuantificada, donde las posturas de seguridad reportadas pueden reflejar las limitaciones específicas de un detector en lugar del estado real del registro. Además, estudios previos a menudo no contabilizan la propagación de fallos de "padre a hijo": una vulnerabilidad en una imagen base (por ejemplo, alpine) es heredada por cada imagen construida sobre ella, afectando potencialmente a miles de millones de descargas, mientras que un fallo en una imagen hoja poco utilizada afecta casi a nada. Las mediciones existentes también luchan por distinguir entre los aciertos brutos del detector y los secretos realmente explotables, a menudo confundiendo elementos de prueba (test fixtures) con credenciales reales.

Metodología: El Pipeline ChimangoScan
Para abordar estas brechas, los autores presentan ChimangoScan, un pipeline de tres etapas diseñado para rastrear Docker Hub, reconstruir el grafo de capas de las imágenes y escanear las imágenes con mayor exposición utilizando múltiples herramientas independientes.

Etapa I: Descubrimiento de Repositorios: El pipeline enumera el espacio de nombres de Docker Hub mediante un recorrido de trie de prefijos de los nombres de los repositorios a través de la API pública de búsqueda. Este enfoque de "refinamiento de capacidad" maneja los límites de resultados de la API (10,000 resultados por consulta) expandiendo recursivamente los prefijos saturados. El rastreador indexó 12,716,568 repositorios, registrando recuentos de descargas (pull counts), estrellas y marcas de tiempo.
Etapa II: Resolución de Imágenes y Grafo de Capas: El sistema resuelve los repositorios en digests de imágenes concretos y reconstruye el grafo de capas. Utilizando un identificador de ancestría por hash (SHA-256 del ID del padre concatenado con el digest de la capa), construye un bosque dirigido de 84.7 millones de nodos y 54.4 millones de aristas que representan las relaciones IS_BASE_OF. Esta estructura captura cómo se comparten las capas entre las imágenes.
Priorización Basada en la Exposición: A diferencia del trabajo previo que clasifica por un simple recuento de descendientes, ChimangoScan introduce una Puntuación de Exposición $E(I)$ . Este escalar combina el propio recuento de descargas de una imagen con los recuentos de descargas de todos los elementos en su subárbol descendente. Esta métrica prioriza las imágenes cuyos fallos se propagarían a la mayor parte del ecosistema.
Etapa III: Ejecución de Multi-Escáner: El pipeline escanea los 52,895 repositorios con mayor exposición (que cubren el 84.7% de todas las descargas registradas) utilizando seis escáneres de código abierto:
- Inventario de Software: Syft.
- Escaneo de Vulnerabilidades: Trivy, Grype y OSV-Scanner (utilizando las bases de datos NVD, Anchore VulnDB y OSV respectivamente).
- Desconfiguración: Dockle (CIS Docker Benchmark).
- Secretos: TruffleHog (más de 700 detectores).
  Los hallazgos se consolidan por imagen pero no se deduplican entre escáneres para permitir la medición del desacuerdo entre escáneres.

Contribuciones Clave

Puntuación de Exposición: La primera métrica que integra la propia popularidad de una imagen y todo su alcance de subárbol descendente en un solo escalar, permitiendo la priorización basada en el impacto en el ecosistema en lugar de solo en el recuento de imágenes.
Escala y Amplitud: Una medición de 52,895 repositorios de alto rango (aproximadamente 170.4 millones de hallazgos), que representa dos órdenes de magnitud más imágenes que los estudios previos de multi-escáner.
Análisis de Desacuerdo entre Escáneres: Una cuantificación a escala del ecosistema de cuánto depende la postura de seguridad de la herramienta utilizada.
Dataset Público: Lanzamiento de metadatos para 12.7 millones de repositorios, el grafo de capas completo y los reportes de multi-escáner para las imágenes escaneadas.

Result Resultados Clave

Vulnerabilidades Casi Universales: Las vulnerabilidades conocidas son omnipresentes. El 96.3% de las imágenes escaneadas portan al menos una vulnerabilidad de paquete conocida, el 93.4% portan una crítica y el 98.0% contienen una desconfiguración. La imagen mediana porta 885 hallazgos combinados.
Dependencia del Escáner: La postura de seguridad reportada está fuertemente impulsada por el artefacto del escáner. De las vulnerabilidades distintas encontradas, solo el 2.7% son reportadas por los tres escáneres de vulnerabilidades, mientras que el 66.8% son reportadas por solo uno. Una medición de una sola herramienta pierde aproximadamente una vulnerabilidad distinta de cada tres.
Secretos vs. Falsos Positivos: Aunque TruffleHog señala secretos en el 76.9% de las imágenes, el etiquetado manual de una muestra aleatoria revela que el 99.7% de estos aciertos no son credenciales (por ejemplo, checksums de paquetes, elementos de prueba, ejemplos de documentación). Solo ~0.3% son credenciales plausibles y activas.
Prevalencia de Desconfiguraciones: Dockle señala desconfiguraciones en el 98.0% de las imágenes, siendo las más comunes la falta de configuraciones de confianza de contenido (content-trust), la ausencia de instrucciones HEALTHCHECK y contenedores ejecutándose como root.
Exposición vs. Seguridad: No existe correlación entre la popularidad de una imagen (recuento de descargas) o su puntuación de exposición y su recuento de vulnerabilidades. Incluso las imágenes base más reutilizadas (ej. alpine, ubuntu) portan casi universalmente hallazgos críticos.
Impacto de la Propagación: Ponderar los CVE por exposición revela que los fallos en bibliotecas centrales (ej. zlib, glibc) afectan a una parte del ecosistema mucho mayor de lo que sugiere su recuento bruto de imágenes. Un solo CVE de alto alcance afecta a imágenes que representan el 47.3% de la exposición total del corpus.

Significancia y Reivindicaciones
El artículo sostiene que las mediciones de seguridad a escala del ecosistema no deben depender de un solo escáner, ya que la postura reportada es sustancialmente un artefacto de dicha herramienta. En su lugar, las auditorías y los pipelines de CI deberían emplear una batería de escáneres respaldados por diferentes bases de datos. Además, los autores argumentan que los esfuerzos de remediación deben priorizarse por exposición (alcance descendente) en lugar de recuentos brutos de imágenes, ya que esto apunta a los fallos que se propagan a la mayor parte de la cadena de suministro. Finalmente, el artículo enfatiza que las tasas de detección de secretos brutos son engañosas sin validación, ya que la gran mayoría de los aciertos son falsos positivos.

El estudio concluye que, si bien las vulnerabilidades y desconfiguraciones son casi universales en las imágenes de mayor exposición de Docker Hub, las métricas específicas utilizadas para describirlas son altamente dependientes de la herramienta, lo que requiere un enfoque de multi-escáner para una evaluación precisa.