Компания Sysdig, развивающая одноимённый открытый инструментарий для анализа работы системы, опубликовала результаты исследования более 250 тысяч образов Linux-контейнеров, размещённых в каталоге Docker Hub без признака верифицированного или официального образа. В итоге 1652 образа были классифицированы как вредоносные...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=58191

• В Docker Hub выявлено 1600 вредоносных образов контейнеров,commiethebeastie, 13:53 , 25-Ноя-22
  • В Docker Hub выявлено 1600 вредоносных образов контейнеров,test, 13:56 , 25-Ноя-22
    • В Docker Hub выявлено 1600 вредоносных образов контейнеров,YetAnotherOnanym, 14:26 , 25-Ноя-22
      • В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 14:38 , 25-Ноя-22
        • В Docker Hub выявлено 1600 вредоносных образов контейнеров,YetAnotherOnanym, 15:38 , 25-Ноя-22
          • В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 14:28 , 30-Ноя-22
  • В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 14:19 , 25-Ноя-22
    • В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 17:06 , 25-Ноя-22
    • В Docker Hub выявлено 1600 вредоносных образов контейнеров,Anonysimus, 08:48 , 28-Ноя-22
  • В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 14:28 , 25-Ноя-22
• В Docker Hub выявлено 1600 вредоносных образов контейнеров,test, 13:55 , 25-Ноя-22
  • В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 14:03 , 25-Ноя-22
• В Docker Hub выявлено 1600 вредоносных образов контейнеров,YetAnotherOnanym, 14:16 , 25-Ноя-22
  • В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 14:31 , 25-Ноя-22
    • В Docker Hub выявлено 1600 вредоносных образов контейнеров,YetAnotherOnanym, 15:35 , 25-Ноя-22
      • В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 15:47 , 25-Ноя-22
        • В Docker Hub выявлено 1600 вредоносных образов контейнеров,YetAnotherOnanym, 11:27 , 26-Ноя-22
  • В Docker Hub выявлено 1600 вредоносных образов контейнеров,лютый ж...., 15:14 , 26-Ноя-22
• В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 14:28 , 25-Ноя-22
• В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 14:41 , 25-Ноя-22
• В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 14:45 , 25-Ноя-22
• В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 16:15 , 25-Ноя-22
• В Docker Hub выявлено 1600 вредоносных образов контейнеров,test, 16:30 , 25-Ноя-22
  • В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 16:40 , 25-Ноя-22
  • В Docker Hub выявлено 1600 вредоносных образов контейнеров,A, 19:20 , 26-Ноя-22
• В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 17:05 , 25-Ноя-22
  • В Docker Hub выявлено 1600 вредоносных образов контейнеров,Анончик, 15:39 , 26-Ноя-22
• В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 17:08 , 25-Ноя-22
• В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 22:40 , 25-Ноя-22
  • В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 22:45 , 25-Ноя-22
    • В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 22:47 , 25-Ноя-22
  • В Docker Hub выявлено 1600 вредоносных образов контейнеров,A, 19:25 , 26-Ноя-22
• В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 19:28 , 26-Ноя-22
  • В Docker Hub выявлено 1600 вредоносных образов контейнеров,Аноним, 21:36 , 26-Ноя-22
• В Docker Hub выявлено 1600 вредоносных образов контейнеров,InuYasha, 11:11 , 27-Ноя-22

Ленивые админчики и кодеры, которые не могут/лень собрать свой образ должны страдац.

Основная масса все таки базируется на чем либо, оригинальных очень мало.

> Основная масса все таки базируется на чем либо, оригинальных очень мало.

Одно дело базироваться на образе, который указали разрабы софта (сейчас почти у всех более-менее значимых продуктов в доках есть что-то типа "берёте наш образ для докера вот по этой ссылке и запускаете"), или на голом Альпине, другое дело - находить образ какими-то левыми путями (типа советов от гуру на форумах "возьми вот этот образ, он лучше официального").

> находить образ какими-то левыми путями

От этого ничто не защитит. Если кодер твердо поставил перед собой цель выстрелить в ногу, он этого добьется. Введи в докерхаб предмодерирование - он начнет пользоваться альтернативным хабом. Сделай так, чтобы нельзя было менять репозиторий имаджей - так он скачает себе Docker_UNLOCKED_by_MegaHaX0R_2008.exe. К счастью, таких кодеров настолько ничтожно мало, что даже комментировать твой коммент - зашквар.

> комментировать твой коммент - зашквар

Но ты смог! Ты преодолел!

пацан принял огонь на себя, чо ты

Ленивые админчики и кодеры, которые не могут/лень собрать свой бинарь докера должны страдац.
Ленивые админчики и кодеры, которые не могут/лень написать свой докер должны страдац.
Ленивые админчики и кодеры, которые не могут/лень написать свой операционка должны страдац.
Ленивые админчики и кодеры, которые не могут/лень написать свой производство процов должны страдац.
Ленивые админчики и кодеры, которые не могут/лень написать свой архитектура процов должны страдац.

Ленивые админчики и кодеры, которые не могут/лень написать свой комментарий должны страдац!

Жизнь - боль! Страдать должны все. И никто не уйдет обиженным

Не знаю насчёт собрать, но единственный смысл сабжа в том, что оно уже готовое. В прод совать, конечно, не норм.

А как они выявляли ? Нужно как минимум запустить каждый ...

На хост ставят свой Sysdig (в видео докера, но с очень плотной связью с хостом ). Потом качают на хост известные контейнеры и прога Sysdig их мониторит так как умеет.

В технологии, придуманной для того, чтобы что-то разворачивать в продакшоне быстро и не включая голову, по другому и быть не может.

эту технологию придумали для получения предсказуемого pinned окружения, потому что в большинстве дистров ты имеешь только ту библиотеку, которую тебе дадут, а не ту, с которой ты писал/тестировал ("УМВР просто поставьте на прод мой дистр лол").

"Тёплое vs мягкое".
Предсказуемое окружение, в котором всё, что надо, заранее прибито гвоздями в нужных местах, тоже надо разворачивать обдуманно и с внимательным изучением того, что разворачиваешь. А ставить не думая левый контейнер - это тоже самое, что тащить в рот неведомую какашку, только потому, что она упакована так же, как армейский сухпай.

> ставить не думая левый контейнер - это тоже самое, что тащить в рот неведомую какашку

Я тоже осуждаю воображаемых тобой кодеров, которые "ставят не думая левый контейнер". Слушай, а вообрази еще кого-нибудь, чтобы и их тоже можно было осудить?

> вообрази еще кого-нибудь

Нельзя. Будет оффтопик.
В соседней теме я пользователей вацапа ругаю, приходи туда.

>В технологии, придуманной для того, чтобы что-то разворачивать в продакшоне быстро

э не... докер придумали чтобы кодеры с ЗП плюсминус 300кк/наносек не тратили драгоценное время и деньги работодателя на админство внутри своего девкомпа... а вот когда начали прод в докере поднимать, особенно субд, в этот момент зло и случилось )

Думаю верхушка айсберга, халявное - бесплатным не бывает

Намана. Никого, кроме докервасянов, не затронуло, всё спокойно.

Всего 1652 из 250000?
Это даже мини-новости недостойно!

>в 24 токены к API NPM

Ну что-то NPM слабо как-то, всего 24 входа только.

Кстати всех их вредоносное ПО по сути останется только внутри данного контейнера.

Ииии?..

Неа... ))) Неверно.

Контейнеры можно делать с нормальным выходом наружу. А ещё уязвимости и уууу... )))

а что насчет podman?

Та же фигня только пилотка поперек

Енто исскуственный интеллект протаскивает щупальца во все дырки, чтобы в нужное время захватить мир!

А разве могло быть подругому в таком варианте распространения? Чем подстраховыватся будем? Только знаниями и разглядыванием кода? Что-то такой вариант для масс у пользователей Виндовс не привалирует.

У меня в Виндовс фаервол который на всё задаёт запросы, а я уже решаю давать выход или нет в интернет торму или иному файлу не гарантия что я на 100% точно пойму что и зачем исмользует интернет, но это лучше чем не чего свобода доступа в интернет всем и без оповешения.

У меня в Виндовс фаервол который на всё задаёт запросы, а я уже решаю давать выход или нет в интернет торму или иному файлу. Не гарантия, что я на 100% точно пойму, что и зачем использует интернет, но это лучше чем не чего, чем свобода доступа в интернет всем и без оповещения.

Да примерно как с всей опенсорсной толпой жили. Базовый набор от известных людей, а усложнения сверху доступны для разбора.

У хомячков хуже. Там просто: не сиди под админом, вообще ничего не откуда не устанавливай, плати только в магазине. Такое себе... Ограниченная полянка бытия.

> в 266 имелись средства для обхода межсетевых экранов через прокси

О! Узнаю борьбу команды разработки веб приложений банка с командой секуров. Первые тащят в рот всё до чего дотянутся, вторые пытаются всё вымыть, почистить, упорядочить.

изи, оставляешь доступ только к banki.ru и больше никаких проблем

Мусорные контейнеры...