Docker警告數據泄露會影響其Docker Hub存儲庫的大約190,000個用戶的容器映像。該漏洞最初是由Docker于4月26日在發送給Docker Hub用戶的電子郵件中報告的，揭示了前一天4月25日發現的數據泄露事件.Docker Inc.是開源Docker容器背后的主要商業贊助商使開發人員能夠將應用程序構建，打包和部署為容器的技術。Docker Hub是Docker用戶的熱門存儲庫，可以找到可供運行的免費Docker應用程序映像。

“在未經授權訪問Docker Hub數據庫的短暫時間內，大約有190,000個帳戶的敏感數據可能已暴露(不到5%的Hub用戶)，”Docker支持總監Kent Lamb在發送給Docker的電子郵件中寫道Hub用戶。“數據包括這些用戶中的一小部分用戶名和散列密碼，以及Docker autobuild的GitHub和Bitbucket令牌。”

泊塢樞紐是推出在2014年6月由碼頭工人一起公司公司的泊塢1.0版本。由于DockerCon會議將于4月30日在舊金山舉行，因此新數據泄露事件對Docker來說尤為不合時宜。

違反影響

根據Docker的說法，數據泄露涉及未經授權訪問單個Docker Hub數據庫，該數據庫僅存儲非財務用戶數據的子集。目前尚不清楚違規行為是如何發生的，或者攻擊者可能有多長時間未經授權訪問。

Docker Hub包含許多不同類型的應用程序映像，并被各種用戶使用。Docker在 常見問題解答中強調了沒有官方應用程序圖像被泄露的事件。官方圖片是Docker及其合作伙伴開發的圖片，受益于額外的真實性和審查。

“我們為官方圖像制定了額外的安全措施，包括git提交上的GPG簽名以及公證人簽名，以確保每個圖像的完整性，”Docker說。

公證是一種代碼簽名技術，它利用開源的更新框架(TUF)，它提供多層驗證和檢查，以幫助維護應用程序映像及其更新的安全性和真實性。

這種漏洞對于開發人員尤為重要，而不僅僅是Docker Hub的常規用戶。

“對于所有Docker Hub用戶，不需要采取任何措施來保護您的安全，”Docker表示。“密碼重置鏈接已發送給可能泄露密碼哈希的任何用戶。”

Docker被廣泛用作DevOps工具鏈的一部分，其中在GitHub和Bitbucket上開發的代碼會定期自動構建，容器映像會自動部署到Docker Hub，作為構建過程的一部分。

“具有autobuild并且已經將GitHub或Bitbucket存儲庫取消鏈接的用戶將需要重新鏈接這些存儲庫，”Docker說。

分析

“這次襲擊可能會產生相當大的影響 - 但現在要知道這一點還為時尚早，”Twistlock首席技術官John Morello在一篇博文中寫道。“訪問Hub帳戶意味著對repos的讀/寫訪問權限，互聯網上的任何人都可以通過簡單的docker pull myrepo / myimage輕松重復使用。”

Morello補充說，任何將其帳戶連接到GitHub的Docker Hub用戶都應該查看訪問權限以識別任何潛在的異常情況。

總體而言，Docker建議受影響的用戶：

更改其Docker Hub帳戶密碼。

查看GitHub活動。

取消鏈接，然后重新鏈接GitHub訪問權限。