容器镜像仓库泄露风险分析

源自： 绿盟科技研究通讯

“人工智能技术与咨询”   发布

一. 概 述

二. Docker Hub镜像泄露分析

2.1   Docker Hub镜像密钥泄露情况

图1 研究人员最终获取的敏感信息汇总

2.2    暴露敏感信息分析

图2 Docker Hub泄露信息类型汇总

三. Harbor镜像泄露分析

3.1    Harbor组件公网暴露情况

图3 Harbor资产在Shodan上扫描的结果

3.2    镜像泄露风险分析

 3.2.1     CVE-2022-46463导致镜像泄露过程验证

图4 NVD对CVE-2022-46463的描述

图5 测试环境的Harbor版本为2.9.1

图6 将测试镜像打标签，并上传到Harbor

图7 Harbor上可以查询到该镜像

图8 通过CVE-2022-46463发现了上传的镜像仓库名称

图9 通过Harbor的API接口进一步获取该镜像的digest

图10 通过镜像的digest组装出镜像拉取命令，并成功拉取该镜像

 3.2.2    “假漏洞”乌龙事件

图11 Harbor官方对此漏洞的回复

图12 新建项目界面

图13 未认证用户无法通过API获取到该项目的任何信息

四. Docker Registry镜像泄露分析

4.1    Docker Registry组件公网暴露情况

图14 Docker Registry资产在Shodan上扫描的结果

4.2   镜像泄露风险分析

图15 通过API对资产的镜像仓库列表进行读取

图16 通过API获取镜像仓库的tag列表

图17 组合出来的镜像仓库拉取代码

图18 开启认证服务时的Docker Registry启动方式（示例）

图19 具有认证机制的Docker Registry将可以对私有镜像仓库进行保护

五. 总结

声明:公众号转载的文章及图片出于非商业性的教育和科研目的供大家参考和探讨，并不意味着支持其观点或证实其内容的真实性。版权归原作者所有，如转载稿涉及版权等问题，请立即联系我们删除。

“人工智能技术与咨询”   发布