Aller au contenu
Sécurité medium

Docker Hub - images malveillantes

3 min de lecture
Point de compromission dans la chaîne Rupture · étape Packaging
Source
amont
Dépendances
deps
Build & CI
ci
Packaging
Packaging
Release
provenance
Registres
distribution
Déploiement
admission
Runtime
exécution
Rayon d'explosion — compromission à l'étape Packaging, propagation possible aux consommateurs. Domaines : Orchestration, Intégration, Packaging, Release, Fournisseurs
Gravité critique
Vague d'images de conteneurs malveillantes publiées sur Docker Hub (cryptomineurs, portes dérobées).
1 652
images malveillantes
250 000+
images analysées
cryptomineurs
catégorie n°1
Sysdig
découverte

En bref

Date
30/06/2022
Gravité
Critique
Étape de la chaîne
Packaging
Domaines SOCLE
Orchestration+ Intégration, Packaging, Release, Fournisseurs

Que s'est-il passé ?

Contexte

Docker Hub, la plus grande bibliothèque publique d'images de conteneurs, héberge des centaines de milliers d'images. Des chercheurs de Sysdig y analysent 250 000+ images Linux non vérifiées.

Mécanisme

Ils identifient 1 652 images malveillantes : majoritairement des cryptomineurs, mais aussi des secrets embarqués et des outils de contournement de proxy. La taille du dépôt public empêche un contrôle quotidien exhaustif des téléversements.

Impact

Beaucoup d'images malveillantes passent inaperçues ; comme la plupart des acteurs n'en publient que quelques-unes, bannir un compte n'enraye guère la menace. Toute image tirée sans vérification expose l'hôte.

Parades

Images de base de confiance (registres vérifiés, images signées), scan systématique avant exécution (Trivy, Grype), épinglage par digest, et interdiction du pull d'images non vérifiées en CI.

Comment l'attaquant a procédé

Cet incident met en jeu les vecteurs d'attaque suivants du catalogue SOCLE ; chacun renvoie à sa fiche, où l'on trouve les exigences qui le neutralisent :

La leçon à en tirer

Ce qu'il faut retenir

Allowlist des images de base ; scan avant usage ; admission par signature.

Les exigences SOCLE qui auraient limité cet incident

Cet incident se rattache à 16 exigences du référentiel, par domaine. Les satisfaire n'aurait pas forcément tout empêché, mais aurait réduit la probabilité de l'attaque, limité son impact ou accéléré sa détection :

Pour aller plus loin

Ce site vous est utile ?

Sachez que moins de 1% des lecteurs soutiennent ce site.

Je maintiens +700 guides gratuits, sans pub ni tracing. Aujourd'hui, ce site ne couvre même pas mes frais d'hébergement, d'électricité, de matériel, de logiciels, mais surtout de cafés.

Un soutien régulier, même symbolique, m'aide à garder ces ressources gratuites et à continuer de produire des guides de qualité. Merci pour votre appui.

Abonnez-vous et suivez mon actualité DevSecOps sur LinkedIn