💻 computer science

Vulnerabilities, Secrets and Misconfiguration in the Highest-Exposure Docker Hub Images

Cet article présente ChimangoScan, un pipeline à grande échelle qui analyse les images Docker Hub les plus exposées à l'aide de six scanners indépendants pour révéler que les vulnérabilités et les erreurs de configuration sont quasi universelles, que les résultats des scanners sont fortement dépendants de l'outil avec un faible taux d'accord, et que la majorité des secrets détectés sont des faux positifs.

Auteurs originaux : Cristhian Kapelinski, Beatriz Machado, Diego Kreutz

Publié 2026-08-05

📖 6 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Cristhian Kapelinski, Beatriz Machado, Diego Kreutz

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez l'internet comme une ville immense et bouillonnante où le logiciel est le sang qui la fait vivre. Dans cette ville, la plupart des applications ne sont plus construites à partir de zéro ; elles sont assemblées comme des sets LEGO en utilisant des blocs préfabriqués appelés « conteneurs ». Ces conteneurs sont comme des caisses d'expédition standardisées qui contiennent tout ce dont une application a besoin pour fonctionner, du code aux outils. L'entrepôt central où tout le monde stocke et récupère ces caisses s'appelle Docker Hub. C'est le cœur de la chaîne d'approvisionnement logicielle, gérant des milliards de téléchargements chaque mois.

Cependant, tout comme un véritable entrepôt, si une caisse est construite avec une brique fissurée (une vulnérabilité) ou possède un loquet desserré (une mauvaise configuration), chaque bâtiment construit à partir de cette caisse hérite du défaut. Pire encore, certaines caisses contiennent des pièges cachés comme des coffres-forts ouverts (secrets ou mots de passe) laissés à l'intérieur. Pendant des années, les experts en sécurité ont essayé de compter combien de ces caisses dangereuses existent, mais ils se sont généralement appuyés sur un seul « garde de sécurité » (un scanner) pour effectuer l'inspection. C'est comme essayer de trouver tous les nids-de-poule dans une ville avec une seule paire d'yeux ; vous pourriez en manquer beaucoup, ou en voir là où il n'y en a pas. La grande question est : à quel point cet entrepôt est-il réellement dangereux, et l'utilisation d'un seul scanner nous donne-t-elle une image fidèle de la réalité ?

La Grande Chasse aux Détectives de Docker

Une équipe de chercheurs du Brésil, se faisant appeler ChimangoScan, a décidé de s'attaquer à ce mystère avec une enquête massive et multicouche. Au lieu d'engager un seul garde de sécurité, ils ont construit un super-pipeline qui a déployé six scanners différents pour inspecter les caisses les plus populaires de l'entrepôt Docker Hub. Leur objectif n'était pas seulement de compter les mauvaises caisses, mais de déterminer lesquelles importaient le plus.

Le « Score d'Exposition » : Pourquoi certaines caisses comptent plus que d'autres

Imaginez une seule brique fissurée dans la fondation d'un gratte-ciel par rapport à une brique fissurée dans un petit cabanon de jardin. Le défaut du gratte-ciel est un désastre ; celui du cabanon est un désagrément mineur. Les chercheurs ont réalisé que le simple fait de compter combien de fois une caisse est téléchargée ne suffisait pas. Ils devaient savoir sur combien d'autres cailles elle était construite.

Ils ont créé une nouvelle métrique appelée le Score d'Exposition. Voyez cela comme un « rayon de danger ». Si une image de base (comme une version populaire de Linux) est téléchargée 100 fois, mais qu'elle sert aussi de fondation à 1 000 autres images qui sont chacune téléchargées 100 fois, son score d'exposition est massif. L'équipe a classé les 52 895 images les plus élevées selon ce score. Ce n'étaient pas seulement les plus téléchargées ; c'étaient celles dont les défauts se répercuteraient sur le plus grand nombre de personnes. Au total, ces images de tête représentaient 84,7 % de l'ensemble des 663,8 milliards de téléchargements enregistrés dans l'histoire.

Les Résultats : Une ville pleine de fissures

Lorsque ChimangaScan a fait passer ses six scanners sur ces images à haute exposition, les résultats ont été d'une clarté frappante : presque tout était cassé.

Les vulnérabilités sont partout : 96,3 % des images transportaient au moins une vulnérabilité logicielle connue. Plus effrayant encore, 93,4 % d'entre elles présentaient une vulnérabilité « critique », le genre de faille qui pourrait permettre à un hacker de prendre le contrôle du système.
Les mauvaises configurations sont la norme : 98,0 % des images présentaient des mauvaises configurations, comme l'exécution en tant qu'utilisateur « root » (l'équivalent numérique de donner la clé maîtresse du bâtiment à un étranger) ou l'absence de contrôles de sécurité.
Les secrets sont délicats : Les scanners ont trouvé des « secrets » (comme des mots de passe ou des clés API) dans 76,9 % des images. Cependant, lorsque les chercheurs ont vérifié manuellement ces détections, ils ont découvert un revers majeur : 99,7 % d'entre elles étaient de fausses alertes. Il s'agissait simplement de clés d'exemple, de données de test ou d'informations publiques, et non de véritables identifiants volés. Les scanners criaient « Au feu ! » principalement parce qu'ils sentaient l'odeur de la fumée d'un pain grillé, et non d'un véritable incendie.

Le Problème des Scanners : Un seul outil ne suffit pas

La découverte la plus importante concernait peut-être les outils eux-mêmes. Les chercheurs ont constaté que les six scanners n'étaient pas d'accord sur ce qu'ils voyaient.

Si vous n'utilisiez qu'un seul scanner, vous obtiendriez une image du niveau de danger très différente de celle obtenue avec un autre.

En examinant les vulnérabilités distinctes, seulement 2,7 % ont été trouvées par les trois scanners de vulnérabilité.
Un chiffre stupéfiant de 66,8 % des vulnérabilités n'ont été trouvées que par un seul des scanners.

Cela signifie que si une entreprise se repose sur un seul outil de sécurité, elle est probablement en train de passer à côté de deux problèmes sur trois. Le « score de sécurité » d'une image n'est pas un fait absolu ; c'est largement un artefact de l'outil que vous utilisez pour le mesurer.

L'effet d'« Héritage »

L'étude a également montré à quel point un seul défaut peut être dangereux lorsqu'il se trouve dans une image de base populaire. Ils ont découvert qu'un seul défaut critique dans une bibliothèque comme zlib ou glibc (qui sont utilisées dans presque toutes les images de base) pourrait théoriquement affecter 47,3 % de l'exposition de l'ensemble de l'écosystème. Une seule mauvaise brique dans la fondation d'une image de base populaire ne nuit pas seulement à cette image ; elle compromet tout l'arbre généalogique des applications construites par-dessus.

Ce que cela signifie pour vous

Les chercheurs ont conclu que nous ne pouvons pas faire confiance à un chiffre unique provenant d'un seul scanner. Pour garder la chaîne d'approvisionnement logicielle en sécurité, nous devons :

Utiliser plusieurs scanners : Puisqu'aucun outil ne capture tout, il est nécessaire de faire passer une batterie de scanners différents pour obtenir une image réelle.
Prioriser par exposition : Corriger les défauts dans les images de base les plus « exposées » (celles sur lesquelles tout le monde construit) sauvera plus de personnes que de corriger les défauts dans des images obscures et rarement utilisées.
Ne pas paniquer devant chaque alerte de « secret » : Comme la plupart des secrets détectés sont des faux positifs, nous avons besoin de meilleures façons de les vérifier avant de les traiter comme des urgences.

En résumé, l'entrepôt Docker Hub est plein de fissures, et les fissures dans la fondation sont les plus dangereuses. Mais la façon dont nous mesurons ces fissures compte tout autant que les fissures elles-mêmes. Nous avons besoin de plus d'yeux sur le travail pour voir l'ensemble du tableau.

Résumé technique : Vulnérabilités, secrets et erreurs de configuration dans les images Docker Hub à plus haute exposition

Énoncé du problème
Docker Hub sert de registre fondamental pour la chaîne d'approvisionnement logicielle conteneurisée, hébergeant plus de 14 millions d'images et facilitant des centaines de milliards de téléchargements. Cependant, les mesures de sécurité à grande échelle de cet écosystème sont peu fréquentes et reposent historiquement sur un seul scanner de vulnérabilités. Cette dépendance crée une dépendance aux outils non quantifiée, où les postures de sécurité rapportées peuvent refléter les limitations spécifiques d'un détecteur plutôt que l'état réel du registre. De plus, les études antérieures échouent souvent à prendre en compte la propagation « parent-vers-enfant » des failles : une vulnérabilité dans une image de base (par exemple, alpine) est héritée par chaque image construite sur elle, affectant potentiellement des milliards de pulls, tandis qu'une faille dans une image « feuille » rarement utilisée n'affecte presque rien. Les mesures existantes peinent également à distinguer les détections brutes des outils des véritables secrets exploitables, confondant souvent les fixtures de test avec de vrais identifiants.

Méthodologie : Le pipeline ChimangoScan
Pour combler ces lacunes, les auteurs présentent ChimangoScan, un pipeline en trois étapes conçu pour crawler Docker Hub, reconstruire le graphe des couches d'images et scanner les images à plus haute exposition à l'aide de plusieurs outils indépendants.

Étape I : Découverte des dépôts : Le pipeline énumère l'espace de noms de Docker Hub via une traversée par trie de préfixes des noms de dépôts via l'API de recherche publique. Cette approche de « raffinement de capacité » gère les limites de résultats de l'API (10 000 résultats par requête) en développant de manière récursive les préfixes saturés. Le crawler a indexé 12 716 568 dépôts, enregistrant le nombre de pulls, les étoiles et les horodatages.
Étape II : Résolution d'image et graphe de couches : Le système résout les dépôts en digests d'images concrets et reconstruit le graphe de couches. En utilisant un identifiant de lignée haché (SHA-256 de l'ID parent concaténé avec le digest de la couche), il construit une forêt dirigée de 84,7 millions de nœuds et 54,4 millions d'arêtes représentant les relations IS_BASE_OF. Cette structure capture la manière dont les couches sont partagées entre les images.
Priorisation basée sur l'exposition : Contrairement aux travaux antérieurs qui classent par simple nombre de descendants, ChimangoScan introduit un Score d'Exposition $E(I)$ . Ce scalaire combine le propre nombre de pulls d'une image avec les nombres de pulls de tous les images de son sous-arbre en aval. Cette métrique priorise les images dont les failles se propageraient à la plus grande part de l'écosystème.
Étape III : Exécution multi-scanners : Le pipeline scanne les 52 895 dépôts les plus exposés (couvrant 84,7 % de tous les pulls enregistrés) en utilisant six scanners open-source :
- Inventaire logiciel : Syft.
- Scan de vulnérabilités : Trivy, Grype et OSV-Scanner (utilisant respectivement les bases de données NVD, Anchore VulnDB et OSV).
- Erreur de configuration : Dockle (CIS Docker Benchmark).
- Secrets : TruffleHog (700+ détecteurs).
  Les résultats sont consolidés par image mais non dédupliqués entre les scanners pour permettre la mesure du désaccord entre les scanners.

Principales contributions

Score d'exposition : La première métrique qui intègre la popularité propre d'une image et la portée de tout son sous-arbre en aval dans un scalaire unique, permettant une priorisation basée sur l'impact sur l'écosystème plutôt que sur le simple nombre d'images.
Échelle et étendue : Une mesure de 52 895 dépôts les mieux classés (environ 170,4 millions de découvertes), représentant deux ordres de grandeur de plus d'images que les études multi-scanners précédentes.
Analyse du désaccord inter-scanners : Une quantification à l'échelle de l'écosystème de la mesure de la dépendance de la posture de sécurité vis-à-vis de l'outil utilisé.
Jeu de données public : Publication des métadonnées pour 12,7 millions de dépôts, du graphe complet des couches et des rapports multi-scanners pour les images scannées.

Résultats clés

Vulnérabilités quasi universelles : Les vulnérabilités connues sont omniprésentes. 96,3 % des images scannées portent au moins une vulnérabilité de paquet connue, 93,4 % en portent une critique, et 98,0 % contiennent une erreur de configuration. L'image médiane porte 885 découvertes fusionnées.
Dépendance au scanner : La posture de sécurité rapportée est fortement dictée par l'artefact du scanner. Parmi les vulnérabilités distinctes trouvées, seules 2,7 % sont rapportées par les trois scanners de vulnérabilités, tandis que 66,8 % ne sont rapportées que par un seul. Une mesure à outil unique manque environ un tiers des vulnérabilités distinctes.
Secrets vs Faux positifs : Bien que TruffleHog signale des secrets dans 76,9 % des images, l'étiquetage manuel d'un échantillon aléatoire révèle que 99,7 % de ces détections ne sont pas des identifiants (ex: checksums de paquets, fixtures de test, exemples de documentation). Seuls ~0,3 % sont des identifiants plausibles et actifs.
Prévalence des erreurs de configuration : Dockle signale des erreurs de configuration dans 98,0 % des images, les plus courantes étant l'absence de configurations de confiance de contenu (content-trust), l'absence d'instructions HEALTHCHECK et les conteneurs s'exécutant en tant que root.
Exposition vs Sécurité : Il n'y a aucune corrélation entre la popularité d'une image (nombre de pulls) ou son score d'exposition et son nombre de vulnérabilités. Même les images de base les plus réutilisées (ex: alpine, ubuntu) transportent presque universellement des découvertes critiques.
Impact de la propagation : Pondérer les CVE par l'exposition révèle que les failles dans les bibliothèques de base (ex: zlib, glibc) affectent une part de l'écosystème bien plus grande que leur nombre brut d'images. Une seule CVE à haute portée affecte des images comptant pour 47,3 % de l'exposition totale du corpus.

Signification et affirmations
L'article affirme que les mesures de sécurité à l'échelle de l'écosystème ne devraient pas reposer sur le compte d'un seul scanner, car la posture rapportée est substantiellement un artefact de cet outil. Au lieu de cela, les audits et les pipelines CI devraient employer une batterie de scanners appuyés par différentes bases de données. De plus, les auteurs soutiennent que les efforts de remédiation devraient être priorisés par l'exposition (portée en aval) plutôt que par le nombre brut d'images, car cela cible les failles qui se propagent à la plus grande part de la chaîne d'approvisionnement. Enfin, l'article souligne que les taux bruts de détection de secrets sont trompeurs sans validation, car la vaste majorité des détections sont des faux positifs.

L'étude conclut que si les vulnérabilités et les erreurs de configuration sont quasi universelles dans les images Docker Hub à plus haute exposition, les métriques spécifiques utilisées pour les décrire sont hautement dépendantes des outils, nécessitant une approche multi-scanners pour une évaluation précise.