Dockerfile Misconfiguration: Dependency Confusion

使用非特定版本擷取組建相依項，會使組建系統易受惡意二進位程式的侵害或造成系統產生意外的運作方式。

Dockerfile 可以為相依項和基本映像指定一個沒有界線的版本範圍。如果攻擊者能將惡意版本的相依項新增至儲存庫，或欺騙組建系統從攻擊者控制的儲存庫下載相依項，那麼如果 docker 設定為沒有特定版本的相依項時，則 docker 將以無訊息方式下載並執行遭入侵的相依項。

這種類型的弱點可能因為供應鏈攻擊而被利用，在供應鏈攻擊中，攻擊者可運用開發人員的錯誤組態，接著誤植域名，然後可將惡意套件新增至開放原始碼儲存庫。這種類型的攻擊利用對已發佈套件的信任來獲取存取權限並竊取資料。

在 docker 中，latest 標籤會自動指示未使用摘要或唯一標籤為其提供版本的映像的版本層級。Docker 會自動指派 latest 標籤做為指向最新映像資訊清單檔案的機制。由於標籤是可變的，所以攻擊者可使用 latest (或弱標籤，如imagename-lst, imagename-last, myimage) 取代映像或階層。

範例 1：以下組態指示 Docker 挑選使用最新 ubuntu 版本的基本映像。

    FROM ubuntu:Latest
    ...

Docker 不會驗證設定為支援套件管理器的儲存庫是否值得信賴。

範例 2：以下組態指示套件管理器 zypper 擷取指定套件的最新版本。

...
zypper install package
...

在 Example 2 中，如果儲存庫遭到入侵，攻擊者可能很容易便上傳符合動態標準的版本，使 zypper 下載相依項的惡意版本。