研究员：Docker主机防护不足恐沦为挖矿工具

Docker应用日愈广泛，但安全研究人员近日发现数千台Docker主机欠缺安全防护使远程API曝露于公开网络上，导致已有数百台Docker主机遭植入挖矿程序。Docker远程API是很方便的管理途径，但若被有心人取得，就会对公司网络带来灾难。例如Docker远程API可控制远程Docker主机，包括自动执行部署、控制与取得容器状态。安全公司Imperva指出，Docker 远程API会听取2735 / 2736传输埠，它预设只能经由loopback接口（localhost、127.0.0.1）存取，不应对外开放。一旦缺乏安全防护，就会成为外部***者的下手目标。如去年一些企业使用公开可存取的Redis服务器因组态不当，导致RedisWannaMine***行动，使系统被下载植入挖矿程序。

雪上加霜的是，安全公司于二月发现一个编号CVE-2019-5736的漏洞，可让***者取得Docker容器的根权限。结合新漏洞及对外公开的远程Docker API将能使Docker主机被完全攻陷。Imperva近日利用Shodan搜索引擎搜索网络上执行Docker主机对外开放的传输埠，就发现有3,822台Docker主机的远程API曝露于公开网络上。分布地点以美国和中国为最大宗，其次是新加坡、法国与德国。研究人员与这些IP上的2735传输埠建立联机并列出Docker 映像档，发现当中有将近400个IP可被公开存取。他们进一步分析发现，这数百个IP正在执行一只挖矿程序，也就是企业主机已遭挖矿劫持用来挖门罗币（Monero），这类加密货币的挖矿流量很隐密，几乎无法追查到来源、目的地及挖矿数量。其他数千台Docker主机则执行MySQL数据库、Apache Tomcat等正式作业环境。研究人员指出，远程API曝露导致Docker主机上的容器被骇后患无穷，挖矿劫持只是其一，***还能以屏蔽的IP发动***、建立僵尸网络、代管钓鱼服务、窃取帐密及重要数据、将***导向企业内部网络等。相罐信息来源：http://www.cafes.org.tw/info.asp