En bref
Que s'est-il passé ?
Docker Hub, la plus grande bibliothèque publique d'images de conteneurs, héberge des centaines de milliers d'images. Des chercheurs de Sysdig y analysent 250 000+ images Linux non vérifiées.
Ils identifient 1 652 images malveillantes : majoritairement des cryptomineurs, mais aussi des secrets embarqués et des outils de contournement de proxy. La taille du dépôt public empêche un contrôle quotidien exhaustif des téléversements.
Beaucoup d'images malveillantes passent inaperçues ; comme la plupart des acteurs n'en publient que quelques-unes, bannir un compte n'enraye guère la menace. Toute image tirée sans vérification expose l'hôte.
Comment l'attaquant a procédé
Cet incident met en jeu les vecteurs d'attaque suivants du catalogue SOCLE ; chacun renvoie à sa fiche, où l'on trouve les exigences qui le neutralisent :
La leçon à en tirer
Allowlist des images de base ; scan avant usage ; admission par signature.
Les exigences SOCLE qui auraient limité cet incident
Cet incident se rattache à 16 exigences du référentiel, par domaine. Les satisfaire n'aurait pas forcément tout empêché, mais aurait réduit la probabilité de l'attaque, limité son impact ou accéléré sa détection :