研究員：Docker主機防護不足恐淪爲挖礦工具

Docker應用日愈廣泛，但安全研究人員近日發現數千臺Docker主機欠缺安全防護使遠程API曝露於公開網絡上，導致已有數百臺Docker主機遭植入挖礦程序。Docker遠程API是很方便的管理途徑，但若被有心人取得，就會對公司網絡帶來災難。例如Docker遠程API可控制遠程Docker主機，包括自動執行部署、控制與取得容器狀態。安全公司Imperva指出，Docker 遠程API會聽取2735 / 2736傳輸埠，它預設只能經由loopback接口（localhost、127.0.0.1）存取，不應對外開放。一旦缺乏安全防護，就會成爲外部***者的下手目標。如去年一些企業使用公開可存取的Redis服務器因組態不當，導致RedisWannaMine***行動，使系統被下載植入挖礦程序。

雪上加霜的是，安全公司於二月發現一個編號CVE-2019-5736的漏洞，可讓***者取得Docker容器的根權限。結合新漏洞及對外公開的遠程Docker API將能使Docker主機被完全攻陷。Imperva近日利用Shodan搜索引擎搜索網絡上執行Docker主機對外開放的傳輸埠，就發現有3,822臺Docker主機的遠程API曝露於公開網絡上。分佈地點以美國和中國爲最大宗，其次是新加坡、法國與德國。研究人員與這些IP上的2735傳輸埠建立聯機並列出Docker 映像檔，發現當中有將近400個IP可被公開存取。他們進一步分析發現，這數百個IP正在執行一隻挖礦程序，也就是企業主機已遭挖礦劫持用來挖門羅幣（Monero），這類加密貨幣的挖礦流量很隱密，幾乎無法追查到來源、目的地及挖礦數量。其他數千臺Docker主機則執行MySQL數據庫、Apache Tomcat等正式作業環境。研究人員指出，遠程API曝露導致Docker主機上的容器被駭後患無窮，挖礦劫持只是其一，***還能以屏蔽的IP發動***、建立殭屍網絡、代管釣魚服務、竊取帳密及重要數據、將***導向企業內部網絡等。相罐信息來源：http://www.cafes.org.tw/info.asp