Docker容器安全漏洞分析與防護

– 13 分鐘閱讀

隨著 Docker 容器技術的廣泛應用，容器安全問題日益受到重視。容器的輕量級特性和分享核心機制使其更容易受到攻擊，例如 DirtyCow 和 Jack in the Box 等漏洞都可能導致嚴重的安全風險。因此，瞭解 Docker 容器的潛在威脅、掌握漏洞分析方法以及實施有效的防護策略至關重要。本文將探討如何使用 Anchore 等工具分析容器映像檔中的漏洞，並針對常見的 CVE 提供修復建議，協助開發者和維運團隊提升容器安全。

第7章：稽核與分析Docker容器中的漏洞

本章涵蓋了Docker容器威脅和系統攻擊等主題，這些威脅和攻擊可能會影響Docker應用程式。這些威脅和攻擊也適用於特定Docker容器版本的應用程式。我們將檢視針對執行中容器的攻擊和漏洞利用範例。此外，我們還將檢視Docker映像中的特定CVE，以及如何使用vulners API取得有關特定漏洞的詳細資訊。

本章目標

  • 瞭解Docker容器威脅和攻擊
  • 瞭解分析Docker映像中的漏洞
  • 瞭解Docker映像中的CVE
  • 瞭解使用vulners API取得CVE詳細資訊

Docker容器威脅和攻擊

容器可能面臨的攻擊和威脅包括：

  • 直接攻擊核心，利用尚未修補的漏洞
  • 拒絕服務（DoS）攻擊，容器可能會壟斷對某些資源（如CPU和記憶體）的存取，導致拒絕服務
  • 使用被木馬化的映像，如果攻擊者讓某人執行包含惡意程式碼的木馬化映像，則主機Docker和由其暴露的資料都將處於風險之中

確保執行的映像是最新的，並且不包含已知漏洞的軟體版本至關重要。

圖7.1：依類別整理的Docker漏洞

在以下網址中，我們可以看到與Docker相關的主要漏洞和容器攻擊，按類別整理： https://www.cvedetails.com/product/28125/Docker-Docker.html?vendor_id=13534

圖7.2：Docker容器常見攻擊

在下圖中，我們可以看到按年份和型別整理的主要Docker攻擊：

由於容器始終分享主機核心，除非使用seccomp或apparmor來限制容器和主機之間的呼叫，否則容器可以利用核心介面中的任何漏洞來破壞Docker主機。容器中的威脅包括：

  • 應用層DDoS和跨站指令碼攻擊
  • 嘗試下載額外惡意軟體或掃描內部系統以尋找漏洞或機密資料的容器
  • 被迫使用系統資源以嘗試阻止其他容器的容器
  • 使用不安全的應用程式，其目的是拒絕網路上的服務並影響其他容器
  • Linux核心中的Dirty Cow漏洞允許在主機或容器上進行root許可權提升
  • 針對MongoDB和Elasticsearch容器的不安全伺服器容器的勒索軟體攻擊
  • Ruby和Python函式庫中的緩衝區溢位漏洞允許執行惡意程式碼
  • SQL注入攻擊，允許控制資料函式庫容器以竊取資料
  • 根據glibc堆積疊的緩衝區溢位漏洞，透過中間人攻擊將控制權交給駭客

分析Docker映像中的漏洞

在本文中，我們將討論如何分析Docker映像中的漏洞。

使用Anchore分析映像

Anchore是一個開源工具，用於分析Docker映像中的漏洞。以下是使用Anchore分析映像的步驟：

  1. 新增映像到Anchore進行分析

    $ anchore-cli image add docker.io/library/alpine:3.4

    內容解密：

    此命令將指定的Docker映像新增到Anchore進行分析。docker.io/library/alpine:3.4是映像的完整名稱。

  2. 顯示映像內容

    $ anchore-cli image content docker.io/library/alpine:3.4 os

    內容解密：

    此命令顯示指定Docker映像的作業系統內容。

  3. 評估映像的政策合規性

    $ anchore-cli evaluate check docker.io/library/alpine:3.4

    內容解密：

    此命令根據Anchore的政策檢查指定Docker映像的合規性。

  4. 取得映像中的漏洞資訊

    $ anchore-cli image vuln docker.io/library/alpine:3.4 all

    內容解密：

    此命令顯示指定Docker映像中的所有漏洞資訊，包括CVE編號、嚴重程度等。

Docker映像中的CVE

在本文中，我們將討論Docker映像中常見的CVE。

圖7.3：Docker映像中的CVE範例

例如，在某些Python映像中，常見到與glibc函式庫漏洞相關的CVE。

使用vulners API取得CVE詳細資訊

vulners API是一個用於取得CVE詳細資訊的有力工具。以下是如何使用vulners API：

  1. 查詢CVE資訊 
    import requests

def get_cve_details(cve_id):
    url = f"https://vulners.com/api/v3/search/id/?id={cve_id}"
    response = requests.get(url)
    return response.json()

cve_id = "CVE-2022-1234"
details = get_cve_details(cve_id)
print(details)

    內容解密：

    此Python指令碼使用vulners API查詢指定CVE編號的詳細資訊。

問題

  1. 哪種分析工具允許逐層掃描映像，支援多種語言，如Java、Python、Node.js、JavaScript、Ruby和PHP？
  2. Dagda支援的基礎Linux Docker映像是什麼？
  3. Clair為分析容器每一層中的現有漏洞提供了什麼，特別是在Debian、Ubuntu和CentOS資料函式庫中？
  4. 哪種Docker登入檔提供了靜態映像分析，以發現二進位制檔案中過時和易受攻擊的函式庫？
  5. Anchore引擎架構的主要元件是什麼？

深入解析CVE漏洞及其風險評估機制

在資訊安全領域中，CVE（Common Vulnerabilities and Exposures）是一個用於識別和分類別各種安全漏洞的標準化系統。本文將詳細探討CVE漏洞的相關議題，包括其評分機制、攻擊向量以及一些著名的CVE漏洞案例。

CVE漏洞與其評分機制

CVE漏洞是指在軟體、硬體或韌體中發現的安全漏洞，這些漏洞可能會被攻擊者利用，從而對系統造成危害。每個CVE漏洞都會被分配一個唯一的編號，以便於識別和追蹤。

CVSS評分系統

為了衡量CVE漏洞的嚴重程度，業界普遍採用CVSS（Common Vulnerability Scoring System）評分系統。CVSS根據多個因素對漏洞進行評分，包括攻擊向量、攻擊複雜度、所需許可權、使用者互動、影響範圍、完整性影響和可用性影響等。

  graph LR
    A[CVSS評分系統] --> B[攻擊向量]
    A --> C[攻擊複雜度]
    A --> D[所需許可權]
    A --> E[使用者互動]
    A --> F[影響範圍]
    A --> G[完整性影響]
    A --> H[可用性影響]

圖表翻譯： 上圖展示了CVSS評分系統的組成要素，這些要素共同決定了一個CVE漏洞的嚴重程度評分。

CVSS的計算公式為：CVSS = 影響度 × 可利用度。這個公式反映了漏洞被利用的難易程度及其可能造成的影響。

著名的CVE漏洞案例分析

CVE-2014-9357

CVE-2014-9357是一個允許遠端攻擊者以root許可權執行任意程式碼的嚴重漏洞。這個漏洞的CVSS評分較高，因為它允許攻擊者無需身份驗證即可遠端執行程式碼。


### CVE-2014-9357漏洞詳情
- **攻擊向量：** 網路
- **攻擊複雜度：** 低
- **所需許可權：** 無
- **使用者互動：** 無
- **影響範圍：** 高

CVE-2019-5736

CVE-2019-5736是一個影響Docker容器執行時（runc）的漏洞。攻擊者可以透過惡意容器覆寫主機上的runc二進位制檔案，從而獲得主機的root許可權。雖然預設的AppArmor策略和SELinux策略可以阻止這個攻擊，但正確組態這些安全模組是必要的。

Dirty Cow（CVE-2016-5195）

Dirty Cow是一個存在於Linux核心中的許可權提升漏洞。攻擊者可以利用這個漏洞將自己的許可權提升到root。這個漏洞利用了Linux核心中的一個競爭條件，允許攻擊者修改只讀記憶體頁面。

// dirtycow.c 程式碼片段示例
#include <stdio.h>
#include <sys/mman.h>
#include <fcntl.h>

int main() {
    // 開啟目標檔案
    int fd = open("/etc/passwd", O_RDONLY);
    // 將檔案對映到記憶體
    char *map = mmap(NULL, 4096, PROT_READ, MAP_PRIVATE, fd, 0);
    // 利用競爭條件修改只讀記憶體
    // ...
}

#### 內容解密： 上述程式碼片段展示了Dirty Cow漏洞利用的基本思路。攻擊者首先開啟目標檔案（例如/etc/passwd），然後將其對映到記憶體中。接著，攻擊者利用競爭條件修改原本只讀的記憶體頁面，從而實作對檔案的未授權修改。

風險評估與緩解措施

對於上述CVE漏洞，瞭解其風險評估和緩解措施至關重要。

  • CVE-2014-9357： 更新受影響的軟體版本，避免使用具有已知漏洞的版本。
  • CVE-2019-5736： 更新Docker和runc到最新版本，並正確組態SELinux或AppArmor。
  • Dirty Cow（CVE-2016-5195）： 更新Linux核心到修復該漏洞的版本。

Docker 容器安全：漏洞分析與防護策略

隨著容器技術的普及，Docker 已經成為現代軟體開發與佈署的重要工具。然而，Docker 容器也面臨著各種安全威脅與漏洞。本文將探討 Docker 容器的安全問題，分析常見的漏洞型別，並提出有效的防護措施。

DirtyCow 漏洞：原理與防護

DirtyCow（CVE-2016-5195）是一種 Linux 核心漏洞，允許非特權使用者寫入唯讀記憶體對映檔案。攻擊者可以利用此漏洞提升許可權，取得系統管理員許可權。

漏洞原理

DirtyCow 漏洞的產生是由於 Linux 核心在處理寫時複製（Copy-on-Write, CoW）機制時存在缺陷。攻擊者可以利用此機制寫入原本唯讀的檔案，從而實作許可權提升。

防護措施

  1. 使用 AppArmor：AppArmor 是一種 Linux 安全模組，可以限制應用程式的許可權，防止惡意程式利用 DirtyCow 漏洞提升許可權。

    # 啟用 AppArmor 組態檔
apparmor_parser -r /etc/apparmor.d/docker.Docker

  2. 以唯讀模式執行容器：將容器設定為唯讀模式，可以防止攻擊者在容器內寫入檔案，從而降低安全風險。

    # 以唯讀模式執行 Docker 容器
docker run --read-only -d my_image

Jack in the Box (CVE-2018-8115) 漏洞：遠端程式碼執行

CVE-2018-8115 是影響 Docker for Windows 的遠端程式碼執行漏洞。該漏洞源於 Windows Compute Service Shim 的 filepath.Join 函式未正確驗證檔案路徑，允許攻擊者建立、刪除或替換主機檔案系統上的檔案。

防護措施

  1. 更新 Docker 版本：Docker 已在 CE 18.03.1 和 CE 17.05.0-rc1 版本中修補了該漏洞。建議更新至最新版本。

    # 更新 Docker 至最新版本
sudo apt-get update && sudo apt-get install docker-ce

  2. 使用安全工具掃描映像檔：Aqua Security 提供了一個開源工具，用於檢查 Docker 映像檔是否包含 CVE-2018-8115 漏洞。

    # 使用 Python 指令碼掃描 CVE-2018-8115 漏洞
import docker

client = docker.from_env()
image = client.images.pull('my_image:latest')
# 分析映像檔層，檢查是否存在漏洞

常見的易受攻擊套件

研究表明，某些套件在 Docker 映像檔中頻繁出現漏洞。對於官方映像檔，glibc 是最常受影響的函式庫，影響超過 80% 的映像檔。

套件名稱 受影響映像檔比例
glibc >80%
… …

Docker 映像檔漏洞分析

為了確保 Docker 容器的安全性，需要進行稽核流程，驗證容器是否根據最新的映像檔，並且主機和容器的組態是否安全。主要檢查專案包括：

  1. 隔離和最小許可權：確保容器以最小資源和許可權執行，限制記憶體、CPU 和網路使用。

    # 限制容器的記憶體和 CPU 使用
docker run --memory="512m" --cpus="1.0" -d my_image

  2. 存取控制：使用 Linux 安全模組（如 AppArmor 或 SELinux）強制存取控制，限制系統呼叫。

  3. 檢查映像檔和套件更新：確保映像檔和套件保持最新，避免已知漏洞。

  4. 使用唯讀檔案系統：將基礎檔案系統設為唯讀模式，便於發現問題。

隨著容器技術的不斷發展，新的安全挑戰將不斷出現。未來，我們需要持續關注容器安全的最新研究和發展，不斷改進和完善安全防護措施。同時，開發者和維運團隊應加強合作，共同提升 Docker 容器的安全性。

圖表翻譯：Docker 安全稽核流程圖

  graph LR;
    A[開始稽核] --> B[檢查映像檔更新];
    B --> C[檢查套件漏洞];
    C --> D[檢查存取控制];
    D --> E[檢查資源限制];
    E --> F[稽核完成];

圖表翻譯： 此圖示呈現了 Docker 安全稽核的流程。首先開始稽核，接著檢查映像檔是否為最新版本，然後檢查套件是否存在已知漏洞，再來檢查存取控制是否得當，最後檢查資源限制是否合理，完成整個稽核流程。

程式碼範例：檢查 Docker 映像檔更新

import docker

def check_image_update(image_name):
    client = docker.from_env()
    image = client.images.get(image_name)
    # 取得最新的映像檔
    latest_image = client.images.pull(image_name)
    if image.id != latest_image.id:
        print(f"映像檔 {image_name} 需要更新")
    else:
        print(f"映像檔 {image_name} 已是最新版本")

# 使用範例
check_image_update('my_image:latest')

內容解密：

此 Python 指令碼用於檢查指定的 Docker 映像檔是否為最新版本。首先，它透過 Docker API 取得本地的映像檔資訊，然後提取最新的映像檔進行比對。如果本地映像檔與最新映像檔的 ID 不同，則表示需要更新；否則，表示已是最新版本。該指令碼有助於確保使用的 Docker 映像檔始終保持最新狀態，從而減少潛在的安全風險。

Docker 容器安全漏洞分析與防範

漏洞分類別與評分機制

在探討 Docker 容器安全時，瞭解漏洞的分類別與評分機制至關重要。美國政府管理的 NVD（National Vulnerability Database）資料函式庫為每個已知的漏洞提供了詳細的資訊，包括其影響範圍、受影響的程式碼以及可能的解決方案。NVD 對每個漏洞進行評分，範圍從 0 到 10，並根據評分將漏洞分為三個等級：

  • 高風險漏洞（7-10 分）：這類別漏洞通常具有較高的攻擊性，攻擊者可以輕易利用它們對系統造成重大損害。例如：

    • ShellShock（http://en.wikipedia.org/wiki/Shellshock(softwarebug)）
    • Heartbleed（OpenSSL）（http://heartbleed.com）

  • 中風險漏洞（4-6 分）：這類別漏洞的攻擊複雜度較高，或者其影響範圍相對有限。例如：

    • Poodle（OpenSSL）（https://poodlebleed.com）

  • 低風險漏洞（0-3.9 分）：這類別漏洞通常較難被利用，或者其影響相對較小。例如：

    • 緩衝區溢位：GCC 記憶體分配可能由於存取未分配的記憶體區域而導致緩衝區溢位。

程式碼範例：檢查 NVD 漏洞資料

import requests

def fetch_nvd_vulnerabilities():
    url = "https://github.com/linxack/nvdparser"
    response = requests.get(url)
    if response.status_code == 200:
        print("成功取得 NVD 漏洞資料")
    else:
        print("取得 NVD 漏洞資料失敗")

fetch_nvd_vulnerabilities()

內容解密：

此 Python 指令碼用於從指定的 GitHub 倉函式庫取得 NVD 漏洞資料。首先，我們匯入了 requests 函式庫以傳送 HTTP 請求。然後，定義了一個函式 fetch_nvd_vulnerabilities，該函式向指定的 URL 傳送 GET 請求。如果請求成功（狀態碼為 200），則印出成功訊息；否則，印出失敗訊息。

各大 Linux 發行版的 CVE 清單

不同的 Linux 發行版維護著自己的 CVE（Common Vulnerabilities and Exposures）清單。例如，Ubuntu 和 Red Hat 都提供了詳細的 CVE 清單，分別可在以下網址找到：

  • Ubuntu CVE 清單：http://people.canonical.com/~ubuntu-security/cve/main.html
  • Red Hat CVE 清單：https://access.redhat.com/security/security-updates/#/cve

CVE 清單查詢流程

  graph LR;
    A[開始查詢 CVE] --> B[存取 Ubuntu CVE 清單];
    A --> C[存取 Red Hat CVE 清單];
    B --> D[檢視 Ubuntu CVE 詳細資訊];
    C --> E[檢視 Red Hat CVE 詳細資訊];
    D --> F[根據 CVE 資訊進行修復];
    E --> F;

圖表翻譯： 此圖展示了查詢 CVE 清單的流程。首先，從開始查詢 CVE 的節點出發，可以選擇存取 Ubuntu 或 Red Hat 的 CVE 清單。接著，檢視相應的 CVE 詳細資訊。最後，根據取得的 CVE 資訊進行相應的修復工作。

Alpine 映象漏洞分析

Alpine Linux 映象在某些版本中存在一個嚴重的安全漏洞（CVE-2019-5021），該漏洞允許攻擊者使用空密碼登入 root 使用者。受影響的版本包括 3.3、3.4 和 3.5。要檢查是否受到此漏洞的影響，可以執行以下命令：

$ docker run docker.io/alpine:3.4 cat /etc/shadow | head -n1

此命令會輸出 root 使用者的密碼狀態。如果密碼欄位為空，則表示該版本存在漏洞。

程式碼範例：修復 Alpine 映象漏洞

RUN sed -i -e 's/^root::/root:!:/' /etc/shadow

內容解密：

此 Dockerfile 指令用於修復 Alpine 映象中的 root 使用者空密碼漏洞。透過使用 sed 命令，將 /etc/shadow 檔案中 root 使用者的密碼欄位修改為 !，從而禁止 root 使用者登入。這樣可以有效防止攻擊者利用該漏洞進行未授權存取。

Docker 映象中的 CVE

Docker Hub 上存在一些故意設計為包含已知漏洞的映象，例如：

  • Vulnerable ShellShock 映象：https://hub.docker.com/r/vulnerables/cve-2014-6271
  • OpenSSH 遠端 DOS 漏洞映象：https://hub.docker.com/r/vulnerables/cve-2016-6515
  • Vulnerable HeartBleed 映象：https://hub.docker.com/r/vulnerables/cve-2014-0160

這些映象可用於安全測試和學習目的。

玄貓

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。