Docker Hubの重大欠陥が2年間放置、他人になりすましてアップロード可能
secure-clip_編集担当
ライター
この記事のポイント
- Docker Hubの重大欠陥により、他ユーザーのアカウントにアクセス可能な状態が2年間継続していた
- 他人になりすましてソフトウェアをアップロード・削除できるため、サプライチェーン攻撃に発展する危険性がある
- 9月30日に修正済み。悪用されたエビデンスは未検出だが、システムの利用状況を確認すべき
Docker Hubはコンテナソフトウェアを配布する中心地です。今回の欠陥により、一般ユーザーが他人のアカウントになりすまして、ソフトウェアをアップロード・削除できました。組織アカウントへの変換機能に存在した欠陥で、約2年間放置されていました。Docker社は9月30日に修正し、10月12日に公表。現在のところ悪用された痕跡はないとしていますが、社内で使用しているコンテナの出所を確認することが重要です。
よくある質問
- 当社の開発に影響する可能性はありますか？
- Docker Hubからコンテナをダウンロードしている場合、リスクがあります。9月30日以降の最新版を使用していれば安全ですが、利用状況を確認してください。
- なぜこの欠陥は2年も放置されたのか？
- 組織アカウント変換機能の実装に脆弱性があったもので、外部から容易に発見できない内部的な欠陥だったと考えられます。
- 今後、同様の問題を防ぐには？
- Docker社が提供するセキュリティアップデートを迅速に適用し、定期的なセキュリティ監査を実施することをお勧めします。
情報源：The Hacker News
本記事は上記情報を元に編集部が翻訳・要約・編集したものです。原文の正確な翻訳を保証するものではありません。
本記事は上記情報を元に編集部が翻訳・要約・編集したものです。原文の正確な翻訳を保証するものではありません。
