Dockerfile Misconfiguration: Dependency Confusion

非特定のバージョンを使用してビルドの依存関係を取得すると、ビルド システムが悪意のあるバイナリに対して脆弱なままになるか、システムで予期しない動作が発生する可能性があります。

Dockerfile では、依存関係とベース イメージを、バージョンの範囲を限定せずに指定できます。攻撃者が、悪意のあるバージョンの依存関係をリポジトリに追加したり、ビルド システムに攻撃者の制御下にあるリポジトリから依存関係をダウンロードするように仕向けたりできる場合、Docker が特定のバージョンの依存関係なしで設定されていると、Docker は侵害された依存関係をサイレントにダウンロードして実行します。

このタイプの弱点は、攻撃者が開発者による設定ミスを利用したり、タイポスクワッティングしたり、悪意のあるパッケージをオープン ソース リポジトリに追加したりするサプライ チェーン攻撃の結果として、悪用される可能性があります。このタイプの攻撃では、公開されたパッケージの信頼を悪用して、データにアクセスし、盗み出します。

Docker では、latest タグが、バージョンを提供するためにダイジェストまたは一意のタグを使用しないイメージのバージョン レベルを自動的に示します。Docker は自動的に、最新のイメージ マニフェスト ファイルを指すメカニズムとして latest タグを割り当てます。タグは変更可能であるため、攻撃者は latest (または imagename-lst, imagename-last, myimage などの弱いタグ) を使用して、イメージやレイヤーを置き換えることができます。

例 1: 次の設定では、最新バージョンの ubuntu を使用してベース イメージを選択するように Docker に指示します。

    FROM ubuntu:Latest
    ...

Docker は、パッケージ マネージャーをサポートするように設定されたリポジトリが信頼できるかどうかを検証しません。

例 2: 次の設定では、指定されたパッケージの最新バージョンを取得するように、パッケージ マネージャー zypper に指示します。

...
zypper install package
...

Example 2 では、リポジトリが侵害された場合、攻撃者は動的基準を満たすバージョンをアップロードするだけで、zypper が悪意のあるバージョンの依存関係をダウンロードするように仕向けることができます。