Am 20. November findet die jährliche Archdays- Konferenz statt , auf der Pasha Kann und ich im Rahmen einer Demonstration ein Beispiel zeigen, wie eine Anwendung in Docker gehackt werden kann und wie eine Pipeline mit Sicherheitsüberprüfungen basierend auf GitLab CI von Grund auf neu erstellt wird.
Das Hacken erfolgt gemäß den Anweisungen des Pentest-In-Docker- Repositorys , das wir speziell für Archdays vorbereitet haben. Es gibt auch eine Version in russischer Sprache . Sie können jetzt versuchen, auf einem Linux-Host root zu werden.
Die Ausnutzung einer Sicherheitsanfälligkeit besteht aus folgenden Phasen:
Zugriff auf die Container-Shell unter dem Benutzer www-data mithilfe von RCE - CVE-2014-6271 (Shellshock);
Erhöhen der Berechtigungen zum Rooten durch FakePip-Exploit;
docker.sock ubuntu SSH ( /:/host );
hidle ;
;
Weave Scope.
, , RCE docker.sock. , docker.sock , - , , CVE-2016-5195 CVE-2020-14386. , , Docker API. , Docker 0-day , .
open-source Container Security, , .
GitLab CI. Hadolint, Dockle Trivy, . , , , . .
: https://archdays.ru/speakers/#track-bezopasnost-v-raspredelennyh-sistemah
, - , 50%: SwordfishSecurityArchdays20
A Methodology for Penetration Testing Docker Systems - Docker
Awesome DevSecOps - DevSecOps
Awesome Docker Security - Docker
Cloud Security Tools - Cloud Security
CloudSecDocs - Wiki Kubernetes, Docker Cloud Security,