Vulnerabilities, Secrets and Misconfiguration in the Highest-Exposure Docker Hub Images
Questo articolo introduce ChimangoScan, una pipeline su larga scala che analizza le immagini di Docker Hub più esposte utilizzando sei scanner indipendenti per rivelare che vulnerabilità e configurazioni errate sono quasi universali, i risultati degli scanner sono altamente dipendenti dallo strumento con un basso grado di accordo, e la maggior parte dei segreti rilevati sono falsi positivi.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immaginate internet come una città enorme e frenetica dove il software è il sangue che scorre nelle vene. In questa città, la maggior parte delle applicazioni non viene più costruita da zero; vengono assemblate come set LEGO utilizzando blocchi pre-fatti chiamati "container". Questi container sono come casse di spedizione standardizzate che contengono tutto ciò di cui un'app ha bisogno per funzionare, dal codice agli strumenti. Il magazzino centrale dove tutti conservano e prelevano queste casse si chiama Docker Hub. È il cuore della catena di approvvigionamento del software, che gestisce miliardi di download ogni mese.
Tuttavia, proprio come un vero magazzino, se una cassa viene costruita con un mattone crepato (una vulnerabilità) o ha una chiusura allentata (una misconfigurazione), ogni singola costruzione realizzata usando quella cassa erediterà il difetto. Peggio ancora, alcune casse contengono trappole nascoste come casseforti aperte (segreti o password) lasciate all'interno. Per anni, gli esperti di sicurezza hanno cercato di contare quante di queste casse pericolose esistessero, ma di solito si sono affidati a un solo "guardia giurata" (uno scanner) per l'ispezione. Questo è come cercare di trovare tutte le buche in una città con un solo paio di occhi; potresti mancarne molte, o vedere cose che in realtà non ci sono. La grande domanda è: quanto è davvero pericoloso questo magazzino e l'uso di un solo scanner ci dà un quadro reale?
La Grande Caccia al Detective di Docker
Un team di ricercatori dal Brasile, che si fa chiamare ChimangoScan, ha deciso di affrontare questo mistero con un'indagine massiccia e multistrato. Invece di assumere un solo guardia giurato, hanno costruito una super-pipeline che ha distribuito sei diversi scanner per ispezionare le casse più popolari nel magazzino Docker Hub. Il loro obiettivo non era solo contare le casse cattive, ma capire quali fossero quelle che contavano di più.
Il "Punteggio di Esposizione": Perché Alcune Casse Contano di Più
Immaginate un singolo mattone crepato in una pietra di fondazione usata per un grattacielo rispetto a un mattone crepato in un piccolo capanno da giardino. Il difetto del grattacielo è un disastro; quello del capanno è un fastidio minore. I ricercatori si sono resi conto che semplicemente contare quante volte una cassa veniva scaricata non era sufficiente. Dovevano sapere quante altre casse venivano costruite sopra di essa.
Hanno creato una nuova metrica chiamata Punteggio di Esposizione (Exposure Score). Pensatelo come un "raggio di pericolo". Se un'immagine base (come una versione popolare di Linux) viene scaricata 100 volte, ma è anche la base per altre 1.000 immagini che vengono scaricate 100 volte ciascuna, il suo punteggio di esposizione è enorme. Il team ha classificato le prime 52.895 immagini per questo punteggio. Queste non erano solo le più scaricate; erano quelle i cui difetti avrebbero avuto un effetto a catena sul maggior numero di persone. In totale, queste immagini principali rappresentavano l'84,7% di tutti i 663,8 miliardi di pull registrati nella storia.
Le Conclusioni: Una Città Piena di Crepe
Quando ChimangoScan ha eseguito i suoi sei scanner su queste immagini ad alta esposizione, i risultati sono stati sorprendentemente chiari: quasi tutto era rotto.
- Le vulnerabilità sono ovunque: Il 96,3% delle immagini presentava almeno una vulnerabilità software nota. Ancora più spaventoso, il 93,4% di esse aveva una vulnerabilità "critica", il tipo che potrebbe permettere a un hacker di prendere il controllo del sistema.
- Le configurazioni errate sono la norma: Il 98,0% delle immagini presentava misconfigurazioni, come l'esecuzione come utente "root" (l'equivalente digitale di dare a uno sconosciuto la chiave maestra dell'edificio) o controlli di sicurezza mancanti.
- I segreti sono insidiosi: Gli scanner hanno trovato "segreti" (come password o chiavi API) nel 76,9% delle immagini. Tuttavia, quando i ricercatori hanno controllato manualmente questi casi, hanno scoperto un enorme intoppo: il 99,7% di essi erano falsi allarmi. Erano solo chiavi di esempio, dati di test o informazioni pubbliche, non credenziali effettivamente rubate. Gli scanner stavano gridando "Al fuoco!" soprattutto perché sentivano odore di fumo di un pane tostato, non di un incendio reale.
Il Problema degli Scanner: Uno Strumento Non Basta
Forse la scoperta più importante riguardava gli strumenti stessi. I ricercatori hanno scoperto che i sei scanner non concordavano su ciò che stavano vedendo.
Se utilizzaste un solo scanner, otterreste un quadro del livello di pericolo molto diverso rispetto all'uso di un altro.
- Guardando alle vulnerabilità distinte, solo il 2,7% è stato trovato da tutti e tre gli scanner di vulnerabilità.
- Un incredibile 66,8% delle vulnerabilità è stato trovato da un solo scanner.
Questo significa che se un'azienda si affida a un singolo strumento di sicurezza, è probabile che perda due problemi su tre potenziali. Il "punteggio di sicurezza" di un'immagine non è un fatto assoluto; è in gran parte un artefatto dello strumento utilizzato per misurarlo.
L'Effetto "Ereditarietà"
Lo studio ha anche mostrato quanto possa essere pericoloso un singolo difetto quando si trova in un'immagine base popolare. Hanno scoperto che un singolo difetto critico in una libreria come zlib o glibc (che sono usate in quasi ogni immagine base) potrebbe teoricamente influenzare il 47,3% dell'intera esposizione dell'ecosistema. Un solo mattone difettoso nella fondazione di un'immagine base popolare non danneggia solo quell'immagine; compromette l'intera famiglia di applicazioni costruite sopra di essa.
Cosa Significa per Voi
I ricercatori hanno concluso che non possiamo fidarci di un singolo numero proveniente da un singolo scanner. Per mantenere sicura la catena di approvvigionamento del software, dobbiamo:
- Usare più scanner: Poiché nessun singolo strumento cattura tutto, eseguire una batteria di scanner diversi è necessario per avere un quadro reale.
- Dare priorità all'esposizione: Correggere i difetti nelle immagini base più "esposte" (quelle su cui tutti costruiscono) salverà più persone rispetto al correggere i difetti in immagini oscure e raramente utilizzate.
- Non farsi prendere dal panico per ogni avviso di "segreto": Poiché la maggior parte dei segreti rilevati sono falsi positivi, abbiamo bisogno di modi migliori per verificarli prima di trattarli come emergenze.
In breve, il magazzino Docker Hub è pieno di crepe, e le crepe nelle fondamenta sono le più pericolose. Ma il modo in cui misuriamo quelle crepe conta tanto quanto le crepe stesse. Abbiamo bisogno di più occhi al lavoro per vedere l'intero quadro.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.